ISTIO-SECURITY-2020-004

Istio 1.4 到 1.4.6 和 Istio 1.5 包含以下漏洞:

• CVE-2020-1764: Istio 对 Kiali 使用默认的 signing_key。这允许攻击者查看和修改 Istio 配置。
  • CVSS Score: 8.7 AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

此外，此版本中还修复了另一个CVE，如下所述： Kiali 安全告.

检测

您的安装在以下配置中容易受到攻击：

• Kiali 版本为1.15或更早版本。
• Kiali 登录令牌和签名密钥未设置。

请运行以下命令，检查您的 Kiali 版本：

$ kubectl get pods -n istio-system -l app=kiali -o yaml | grep image:

请运行以下命令确定您的登录令牌是否未设置，并检查输出是否为空：

$ kubectl get deploy kiali -n istio-system -o yaml | grep LOGIN_TOKEN_SIGNING_KEY

请运行以下命令确定您的签名密钥是否未设置，并检查输出是否为空：

$ kubectl get cm kiali -n istio-system -o yaml | grep signing_key

防范

• 对于 1.4.x 部署： 请升级至 Istio 1.4.7 或更高的版本。

• 对于 1.5.x 部署： 请升级至 Istio 1.5.1 或更高的版本。

• 解决方法：您可以使用以下命令将签名密钥手动更新为随机令牌：

  $ kubectl get cm kiali -n istio-system -o yaml | sed "s/server:/login_token:\\\n \
  signing_key: $(tr -dc 'a-zA-Z0-9' < /dev/urandom | fold -w 20 | head -n 1)\\\nserver:/" \
  | kubectl apply -f - ; kubectl delete pod -l app=kiali -n istio-system