CVE-2026-41413

Nome do Software Vulnerável e Versões Afetadas Istio versões anteriores a 1.28.6 Istio versões anteriores a 1.29.2

Descrição Quando um recurso RequestAuthentication é criado com um jwksUri apontando para um serviço interno, o istiod realiza uma requisição HTTP GET não autenticada para essa URL sem filtrar endereços IP de localhost ou link-local. Esse comportamento pode resultar na distribuição de dados sensíveis para proxies Envoy via configuração xDS.

Recomendações Atualizar para a versão 1.28.6. Atualizar para a versão 1.29.2. Implantar uma ValidatingAdmissionPolicy para impedir a criação de recursos RequestAuthentication com valores suspeitos no campo jwksUri, como localhost, 127.0.0.0/8, 169.254.0.0/16 e suas variantes IPv6.