mirror of https://github.com/istio/istio.io.git
62 lines
2.3 KiB
Markdown
62 lines
2.3 KiB
Markdown
---
|
||
title: ISTIO-SECURITY-2020-006
|
||
subtitle: 安全公告
|
||
description: Envoy使用HTTP2库中的拒绝服务。
|
||
cves: [CVE-2020-11080]
|
||
cvss: "7.5"
|
||
vector: "AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H"
|
||
releases: ["1.4 to 1.4.9", "1.5 to 1.5.4", "1.6 to 1.6.1"]
|
||
publishdate: 2020-06-11
|
||
keywords: [CVE]
|
||
skip_seealso: true
|
||
---
|
||
|
||
{{< security_bulletin >}}
|
||
|
||
已修复并公开披露影响 Envoy 使用的 HTTP2 库的漏洞 (c.f. [拒绝服务：SETTINGS 帧过大](https://github.com/nghttp2/nghttp2/security/advisories/GHSA-q5wr-xfw9-q7xr) ). 不幸的是，Istio 没有从可靠的披露评审中受益。
|
||
|
||
* __[CVE-2020-11080](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-11080)__：
|
||
通过发送特制数据包，攻击者可能会导致 CPU 峰值激增100％。 这可以发送到 Ingress 网关或 Sidecar。
|
||
* CVSS Score: 7.5 [AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H](https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N&version=3.1)
|
||
|
||
## 防范{#mitigation}
|
||
|
||
可以使用以下配置在 Ingress Gateway 上禁用 HTTP2 支持作为临时解决方法，例如（请注意，如果您不通过 Ingress 公开 gRPC 服务，则可以禁用 Ingress 的 HTTP2 支持）：
|
||
|
||
{{< text yaml >}}
|
||
|
||
apiVersion: networking.istio.io/v1alpha3
|
||
kind: EnvoyFilter
|
||
metadata:
|
||
name: disable-ingress-h2
|
||
namespace: istio-system
|
||
spec:
|
||
workloadSelector:
|
||
labels:
|
||
istio: ingressgateway
|
||
configPatches:
|
||
- applyTo: NETWORK_FILTER # http connection manager is a filter in Envoy
|
||
match:
|
||
context: GATEWAY
|
||
listener:
|
||
filterChain:
|
||
filter:
|
||
name: "envoy.http_connection_manager"
|
||
patch:
|
||
operation: MERGE
|
||
value:
|
||
typed_config:
|
||
"@type": type.googleapis.com/envoy.config.filter.network.http_connection_manager.v2.HttpConnectionManager
|
||
codec_type: HTTP1
|
||
{{< /text >}}
|
||
|
||
* 对于 Istio 1.4.x 部署：请升级至 [Istio 1.4.10](/zh/news/releases/1.4.x/announcing-1.4.10) 或更高的版本。
|
||
* 对于 Istio 1.5.x 部署：请升级至 [Istio 1.5.5](/zh/news/releases/1.5.x/announcing-1.5.5) 或更高的版本。
|
||
* 对于 Istio 1.6.x 部署：请升级至 [Istio 1.6.2](/zh/news/releases/1.6.x/announcing-1.6.2) 或更高的版本。
|
||
|
||
## 鸣谢{#credit}
|
||
|
||
我们要感谢 `Michael Barton` 引起了我们对这个公开披露漏洞的关注。
|
||
|
||
{{< boilerplate "security-vulnerability" >}}
|