远程 Oracle Linux 7 / 8 主机上安装的程序包受到 ELSA-2022-9362 公告中提及的多个漏洞的影响。

  - Istio 是用于连接、管理和保护微服务的开放平台。在受影响的版本中，Istio 控制平面 istiod 容易受到请求处理错误的影响，从而使恶意攻击者能够发送特制的消息，当公开暴露群集的验证 Webhook 时，可导致控制平面崩溃。此端点通过 TLS 端口 15017 提供服务，但不需要来自攻击者的任何认证。对于简单安装，通常只能从群集内访问 Istiod，从而限制了爆炸半径。但是，对于某些部署，尤其是 [external istiod](https://istio.io/latest/docs/setup/install/external-controlplane/) 拓扑结构，此端口会通过公共 Internet 暴露。已在版本 1.13.2、 1.12.5 和 1.11.8中修补此问题。建议所有用户都进行升级。无法升级的用户应禁用对公共 Internet 公开的验证 Webhook 的访问权限，或将可对其进行查询的 IP 地址集限制为一组已知的受信任实体。 (CVE-2022-24726)

  - Go 1.16.15 之前版本以及 Go 1.17.x 至 1.17.8 版本中的 regexp.Compile 允许通过深度嵌套的表达式耗尽堆栈。(CVE-2022-24921)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

检测

Oracle Linux 7 / 8：olcne / istio / istio (ELSA-2022-9362)

high Nessus 插件 ID 160858

未找到变更日志