🇰🇷 한글 설명
Istio의 제어 평면인 istiod에서 요청 처리 오류가 발생하여 서비스가 중단될 수 있는 취약점입니다. 공격자가 특수하게 조작되거나 크기가 큰 메시지를 전송하면 Go 언어의 regexp.Compile 오류로 인해 제어 평면이 충돌합니다. Kubernetes 검증 또는 변조 웹훅 서비스가 외부에 노출된 경우 인증 없이 공격이 가능합니다.
💡 쉬운 설명
Istio라는 네트워크 관리 도구에 잘못된 메시지를 보내면 시스템이 갑자기 멈춰버리는 문제입니다. 인터넷에 관리 기능이 노출되어 있다면 누구나 이 기능을 망가뜨릴 수 있습니다.
🇺🇸 원문 (English)
Istio is an open platform-independent service mesh that provides traffic management, policy enforcement, and telemetry collection. Prior to versions 1.15.2, 1.14.5, and 1.13.9, the Istio control plane, istiod, is vulnerable to a request processing error, allowing a malicious attacker that sends a specially crafted or oversized message which results in the control plane crashing when the Kubernetes validating or mutating webhook service is exposed publicly. This endpoint is served over TLS port 15017, but does not require any authentication from the attacker. For simple installations, Istiod is typically only reachable from within the cluster, limiting the blast radius. However, for some deployments, especially external istiod topologies, this port is exposed over the public internet. Versions 1.15.2, 1.14.5, and 1.13.9 contain patches for this issue. There are no effective workarounds, beyond upgrading. This bug is due to an error in `regexp.Compile` in Go.
📍 영향받는 시스템
Istio versions prior to 1.15.2, 1.14.5, and 1.13.9
⚔️ 공격 벡터
인증 없이 TLS 포트 15017을 통해 특수하게 조작된 메시지 전송
🛡️ 대응 방법
Istio를 1.15.2, 1.14.5 또는 1.13.9 이상의 패치된 버전으로 업그레이드
🔧 검증 코드
출력된 istiod 버전이 패치된 버전(1.15.2, 1.14.5, 1.13.9 이상)인지 확인
istioctl version | grep -E 'istioctl|istiod'