Kanywst

A `trusted-repos-policy` realiza comparações sensíveis a maiúsculas e minúsculas do hostname `registry` de uma imagem em relação a listas de rejeição e permissão, apesar de os nomes DNS serem insensíveis a maiúsculas e minúsculas. Isso permite a evasão de configurações de lista de rejeição ao usar hostnames com letras maiúsculas ou mistas, levando a política de admissão a aceitar recursos que o runtime do container posteriormente baixa de um registro de imagem proibido. As configurações de lista de permissão não são evadidas, mas falham ao negar hostnames com capitalização diferente.

Existe um problema onde o servidor pode ser coagido a fazer requisições a recursos internos durante a verificação HTTP do domínio da organização. Isso ocorre porque o processo de busca de desafio utiliza a função `http.Get` padrão do Go em vez de um cliente protegido. Atacantes podem registrar domínios que redirecionam para endereços de loopback, internos ou de metadados de nuvem, permitindo a varredura de portas e o mapeamento de redes internas. Trata-se de um server-side request forgery (SSRF), que é uma falha que permite a um atacante induzir a aplicação do lado do servidor a fazer requisições para um local não pretendido.

No Kong Mesh operando em modo universal com um MeshIdentity cujo template de caminho do SPIFFE ID deriva do rótulo `kuma.io/workload` do dataplane, o autenticador XDS no kuma-cp valida esse rótulo apenas quando o token do dataplane está vinculado a um workload. Como a vinculação de workload é opcional, um dataplane que apresente um token vinculado a tags pode se registrar com o rótulo `kuma.io/workload` definido como qualquer valor e obter a identidade SPIFFE de outro workload.