攻击者向启用telemetry v2的服务网格服务发送特制的数据包,触发空指针异常,从而造成拒绝服务。本文介绍CVE-2020-10739漏洞的影响范围及防范措施。

发送途径包括Ingress gateway或者Sidecar代理,详细描述请参见ISTIO

影响范围

以下版本在此漏洞影响范围内:
  • Istio1.4.x版本:1.4到1.4.8版本。
  • Istio1.5.x版本:1.5到1.5.3版本。

防范措施

  • 对于Istio1.5.4以及之前的版本,需要将版本升级到1.5.5。
  • ASM支持1.6.x版本,您需要将ASM升级到1.6.2以上版本, 从而规避该漏洞。
  • 创建服务网格时,通过控制台禁用开启采集Prometheus 监控指标监控