作者：Craig Box。文章最初在Istio 博客[1]上发布
Istio 的安全审查在 Go 标准库中发现 1 个 CVE
Istio 是平台工程师信任的一个项目，用于在其 Kubernetes 生产环境中实施安全策略。我们非常关注代码的安全性，并维护一个健壮的漏洞管理程序[2]。为了验证我们的工作，我们定期邀请项目的外部审查，我们很高兴地公布我们的第二次安全审计的结果[3]。
审计员的评估是，“Istio 是一个维护良好的项目，有一个强有力和可永续的安全方法”。没有发现关键问题；该报告的亮点，是发现了 Go 编程语言中的 1 个漏洞。
我们要感谢 CNCF 对这项工作的资助，这是我们在8 月加入 CNCF[4]后获得的一项福利。这是由OSTIF[5]安排，并由ADA Logics 进行[6]。
范围和总体调查结果
Istio 在 2020 年接受了第一次安全评估[7]，其数据平面Envoy proxy[8]在 2018 年和 2021 年接受了独立评估[9]。因此，Istio 产品安全工作组和 ADA Logics 决定了以下范围：
- 创建正式的威胁模型，以指导此次和未来的安全审计
- 针对安全问题执行手动代码审核
- 查看针对 2020 年审核中发现的问题的修复
- 审查和改进 Istio 的模糊测试（fuzzing）套件
- 对 Istio 进行 SLSA 评估
再一次，在审查中没有发现关键问题。评估发现了 11 个安全问题；2 个高，4 个中，4 个低和 1 个信息性。所有报告的问题都已修复。
“Istio 是一个维护得非常好、非常安全的项目，它有一个可靠的代码库、完善的安全实践和一个响应迅速的产品安全团队。”——ADA Logics
除了上述意见之外，审计员还注意到，Istio 在处理安全问题时遵循了高水平的行业标准。特别是，他们强调：
- Istio 产品安全工作组对安全披露做出快速响应
- 关于项目安全的文档是全面的、精心编写的和保持更新
- 安全漏洞披露遵循行业标准，安全公告清晰而详细
- 安全修复包括回归测试
修复和学习
Go 的请求走私漏洞
审计人员发现了一种情况，Istio 可以使用 HTTP/2 Over Cleartext（h2c）接受流量，这是一种使用 HTTP/1.1 建立未加密连接，然后升级到 HTTP/2 的方法。h2c[10]连接的 Go 库将整个请求读入内存，如果你希望避免这种情况，请求应该包装在 MaxBytesHandler 中。
在修复这个 bug 时，Istio TOC 成员 John Howard 注意到推荐的修复引入了一个请求走私漏洞[11]。Go 团队因此发布了CVE-2022-41721[12]——这是此次审计发现的唯一漏洞！
Istio 已经修改为完全禁用 h2c 升级支持。
文件提取的改进
发现的最常见问题与 Istio 通过网络获取文件有关（例如，Istio 操作器安装 Helm chart 或 WebAssembly 模块下载器）：
- 特制的 Helm chart 可耗尽磁盘空间（#1）或覆盖操作器 pod 中的其它文件（#2）
- 文件处理程序在错误的情况下没有关闭，并且可能被耗尽（#3）
- 特制的文件可能会耗尽内存（#4 和#5）
要执行这些代码路径，攻击者需要足够的权限来指定 Helm chart 或 WebAssembly 模块的 URL。有了这样的访问权限，他们就不需要利用漏洞了：他们已经可以将任意 chart 安装到集群中，或者将任意 WebAssembly 模块加载到代理服务器的内存中。
审计人员和维护人员都注意到，不建议使用 Operator 作为安装方法，因为这需要在集群中运行高权限的控制器。
其它问题
发现的其余问题是：
- 在一些测试代码中，或者在控制平面组件通过本地主机连接到另一个组件的情况下，没有实施最小限度的 TLS 设置（#6）
- 失败的操作可能不会返回错误代码（#7）
- 正在使用一个弃用的库（#8）
- 用于复制文件的一个库中有TOC/TOU[13]竞争情况（#9）
- 如果在调试模式下运行，用户可能会耗尽安全令牌服务的内存（#11）
详情请参阅报告全文。
回顾 2020 年报告
Istio 在首次安全评估中报告的所有 18 个问题都已得到解决。
模糊测试
OSS-Fuzz 项目[14]帮助开源项目执行免费的模糊测试[15]。Istio 集成到 OSS-Fuzz 中，有 63 个 fuzzer 持续运行：这种支持是由 ADA Logics 和 Istio 团队在 2021 年底构建[16]。
“[我们]通过优先考虑 Istio 的安全关键部分来开始模糊测试评估。我们发现其中许多都有令人印象深刻的测试覆盖率，几乎没有改进的余地。”——ADA Logics
评估指出“Istio 很大程度上受益于在 OSS-fuzz 上持续运行的大量模糊测试套件”，并确定了安全关键代码中的几个 API 将受益于进一步的模糊测试，这项工作带来了六个新的 fuzzer；到审计结束时，新的测试已经运行了超过 30 亿次。
SLSA
SLSA[17]（发音：“salsa”，Supply chain Levels for Software Artifacts，软件工件的供应链级别）是一个标准和控制的检查列表，用于防止篡改、提高完整性，以及保护软件包和基础设施。它组织成一系列级别，提供越来越多的完整性保证。
Istio 目前不生成起源工件，所以它不满足任何 SLSA 级别的要求。达到 SLSA 1 级的工作目前正在进行中[18]。如果你想参与，请加入Istio Slack[19]，并联系我们的测试和发布工作组[20]。
参与
如果你想参与 Istio 产品安全，或者成为维护者，我们欢迎你的加入！加入我们的公开会议[21]，提出问题或了解我们为保持 Istio 安全所做的工作。
关于 Istio 安全审计的其它博客：
- ADA Logics[22]
- OSTIF[23]
参考资料
[1]
Istio 博客: https://istio.io/latest/blog/2023/ada-logics-security-assessment/
[2]
漏洞管理程序: https://istio.io/latest/docs/releases/security-vulnerabilities/
[3]
第二次安全审计的结果: https://istio.io/latest/blog/2023/ada-logics-security-assessment/Istio audit report - ADA Logics - 2023-01-30 - v1.0.pdf
[4]
8 月加入 CNCF: https://www.cncf.io/blog/2022/09/28/istio-sails-into-the-cloud-native-computing-foundation/
[5]
OSTIF: https://ostif.org/
[6]
ADA Logics 进行: https://adalogics.com/blog/istio-security-audit
[7]
Istio 在 2020 年接受了第一次安全评估: https://istio.io/latest/blog/2021/ncc-security-assessment/
[8]
Envoy proxy: https://envoyproxy.io/
[9]
在 2018 年和 2021 年接受了独立评估: https://github.com/envoyproxy/envoy#security-audit
[10]
h2c: https://pkg.go.dev/golang.org/x/net/http2/h2c
[11]
请求走私漏洞: https://portswigger.net/web-security/request-smuggling
[12]
CVE-2022-41721: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-41721
[13]
TOC/TOU: https://en.wikipedia.org/wiki/Time-of-check_to_time-of-use
[14]
OSS-Fuzz 项目: https://google.github.io/oss-fuzz/
[15]
模糊测试: https://en.wikipedia.org/wiki/Fuzzing
[16]
由 ADA Logics 和 Istio 团队在 2021 年底构建: https://adalogics.com/blog/fuzzing-istio-cve-CVE-2022-23635
[17]
SLSA: https://slsa.dev/
[18]
达到 SLSA 1 级的工作目前正在进行中: https://github.com/istio/istio/issues/42517
[19]
Istio Slack: https://slack.istio.io/
[20]
测试和发布工作组: https://istio.slack.com/archives/C6FCV6WN4
[21]
加入我们的公开会议: https://github.com/istio/community/blob/master/WORKING-GROUPS.md
[22]
ADA Logics: https://adalogics.com/blog/istio-security-audit
[23]
OSTIF: https://ostif.org/the-audit-of-istio-is-complete
