PT-2026-37113
CVE-2026-41413
·
تاريخ النشر
2026-04-16
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
7.7
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Istio الأقدم من 1.28.6
إصدارات Istio الأقدم من 1.29.2
الوصف
عند إنشاء مورد RequestAuthentication مع وجود
jwksUri يشير إلى خدمة داخلية، يقوم istiod بتنفيذ طلب HTTP GET غير مصدق إلى عنوان URL هذا دون تصفية عناوين IP الخاصة بـ localhost أو link-local. قد يؤدي هذا السلوك إلى توزيع البيانات الحساسة على وكلاء Envoy من خلال تكوين xDS.التوصيات
التحديث إلى الإصدار 1.28.6.
التحديث إلى الإصدار 1.29.2.
نشر
ValidatingAdmissionPolicy لمنع إنشاء موارد RequestAuthentication التي تحتوي على قيم مشبوهة لحقل jwksUri، مثل localhost و127.0.0.0/8 و169.254.0.0/16 وما يعادلها من عناوين IPv6.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾