ISTIO-SECURITY-2026-003

Виправлення безпеки Istio для обходу авторизації та SSRF.

Apr 20, 2026

Подробиці розкриття інформації
CVE(s)	CVE-2026-39350 CVE-2026-41413
Індекс впливу CVSS	5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
Постраждалі випуски	1.29.0 to 1.29.1 1.28.0 to 1.28.5

CVE

CVE-2026-39350 / GHSA-9gcg-w975-3rjh: (оцінка CVSS 5.4, Середній): Інʼєкція regex у serviceAccounts AuthorizationPolicy через неекрановані крапки. Повідомив Wernerina.
CVE-2026-41413 / GHSA-fgw5-hp8f-xfhc: (оцінка CVSS 5.0, Середній): SSRF через jwksUri RequestAuthentication. Повідомив KoreaSecurity, 1seal, AKiileX.

Всі користувачі, що запускають зачеплені версії Istio, потенційно зазнають впливу:

Вплив Оминання авторизації актуальний, якщо ви використовуєте ресурси AuthorizationPolicy, що вказують serviceAccounts, що містять крапки. Атакуючий міг оминути політику ALLOW або проскочити крізь політику DENY, використовуючи службовий обліковий запис з іменем, що використовує інтерпретацію regex wildcard.
Вплив SSRF актуальний, якщо ви дозволяєте користувачам або автоматизованим системам створювати ресурси RequestAuthentication. Атакуючий міг надати jwksUri, що вказує на внутрішні метадані сервіси або локальні порти, потенційно передаючи чутливі внутрішні дані до панелі управління через xDS конфігурацію.