Contour — это контроллер входящего трафика Kubernetes, использующий прокси-сервер Envoy. В Contour до версии 1.17.1 специально созданный се…

Contour — это контроллер входящего трафика Kubernetes, использующий прокси-сервер Envoy. В Contour до версии 1.17.1 специально созданный сервис типа ExternalName может использоваться для доступа к интерфейсу администрирования Envoy, который Contour обычно предотвращает доступ из-за пределов контейнера Envoy. Это можно использовать для удаленного завершения работы Envoy (отказ в обслуживании) или для раскрытия существования любого секрета, который Envoy использует для своей конфигурации, включая, в частности, пары ключей TLS. Однако его *нельзя* использовать для получения *содержимого* этих секретов. Поскольку эта атака позволяет получить доступ к интерфейсу администрирования, доступно множество вариантов администрирования, таких как завершение работы Envoy или слив трафика. Как правило, интерфейс администрирования Envoy не может быть легко использован для внесения изменений в кластер, выполняемые запросы или серверные службы, но его можно использовать для завершения работы или слива трафика Envoy, изменения маршрутизации трафика или для получения метаданных секрета, как упоминалось выше. Эта проблема будет решена в Contour v1.18.0, и был выпущен пропатченный выпуск v1.17.1 для пользователей, которые не могут выполнить обновление в настоящее время. Для получения более подробной информации обратитесь к связанному консультативному документу по безопасности GitHub.