CVE-2020-11767

Versões 1.5.1 e anteriores do Istio

Versões 1.14.1 e anteriores do Envoy

A vulnerabilidade diz respeito a um problema de vazamento de dados em que uma conexão TCP negociada com SNI sobre HTTPS para *.example.com pode levar a uma solicitação para um domínio configurado explicitamente (por exemplo, abc.example.com) sendo enviada ao(s) servidor(es) em escuta por trás de *.example.com. Isso deveria resultar em um erro 421 (Solicitação mal direcionada). Em um cenário com um proxy de encaminhamento com cache compartilhado reutilizando uma conexão HTTP/2 para uma grande sub-rede com muitos usuários, se uma vítima estiver interagindo com abc.example.com e o servidor de abc.example.com reciclar a conexão TCP para o proxy de encaminhamento, o navegador da vítima pode começar a enviar dados confidenciais para um servidor *.example.com. Isso ocorre porque o proxy de encaminhamento reutiliza conexões conforme a especificação, mas nem o Istio nem o Envoy corrigem isso enviando um erro 421, invalidando assim o modelo de segurança que os navegadores mantêm entre domínios.

Para as versões 1.5.1 e anteriores do Istio, considere atualizar para uma versão que inclua a correção para este problema.

Para as versões 1.14.1 e anteriores do Envoy, considere atualizar para uma versão que inclua a correção para este problema.

Como solução alternativa temporária, considere restringir a reutilização de conexões HTTP/2 em proxies de encaminhamento com cache compartilhado para minimizar o risco de vazamento de dados.