Đang tải bảng tin…
Istio00 bình luận3 phút đọc
Istio / ISTIO-SECURITY-2026-005
Tóm tắt bởi AI
Bản tư vấn bảo mật Istio ISTIO-SECURITY-2026-005 tiết lộ nhiều lỗ hổng CVE ảnh hưởng đến Envoy và Istio, đã được vá trong các phiên bản 1.29.5 và 1.28.9. Các lỗ hổng bao gồm từ chối dịch vụ (DoS) qua HTTP/3 QPACK, smuggling header PROXY protocol, use-after-free trong ext_authz filter, kiệt quệ bộ nhớ trong Zstd decompressor, lỗ hổng oracle padding trong bộ lọc OAuth2, bypass SAN validation qua NUL bytes, cùng nhiều lỗi crash/use-after-free khác.
Vì sao nên đọc: Lập trình viên triển khai hoặc quản lý Istio nên đọc để cập nhật ngay các bản vá CVE mới nhất, đặc biệt là các lỗ hổng như tấn công DoS HTTP/3, khai thác header PROXY, hoặc lỗi sử dụng sai lần trong các filter, để tránh rủi ro bảo mật và bảo đảm hệ thống hoạt động ổn định.
Nguồn: https://istio.io/latest/news/security/istio-security-2026-005. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
Đề xuất cho bạn
daniel.haxx.se17 phútAI
a CVE dispute
Daniel Stenberg chia sẻ về lần tranh chấp đầu tiên liên quan đến CVE của dự án curl kể từ khi trở thành CVE Numbering Authority (CNA). Một phóng viên báo cáo lỗi wildcard certificate matching khi hostname có dấu chấm đầu tiên (tên DNS bất hợp pháp), đòi hỏi điều kiện tấn công rất cụ thể. Nhóm curl đã sửa lỗi nhưng từ chối gán CVE vì xếp mức độ nguy hiểm thấp hơn "LOW". Sau khi phóng viên khiếu nại lên MITRE, tổ chức này đã ba lần liên hệ nhưng cuối cùng vào ngày 24/6, MITRE xác nhận quyết định không cấp CVE. Bài viết cũng nhấn mạnh chi phí thực tế của CVEs khi libcurl có ~30 tỷ lượt cài đặt và lý do nhóm không muốn gây xáo trộn không cần thiết trong hệ sinh thái.
Bạn nên đọc bài này để hiểu cách các dự án công cộng như curl xử lý tranh chấp về CVE, từ đó tránh những rủi ro về quản lý thông tin bảo mật và hiệu quả trong việc phát triển phần mềm.
