CVE-2020-11767

Istio versiones hasta 1.5.1 y Envoy versiones hasta 1.14.1, presenta un problema de pérdida de datos. Si existe una conexión TCP (negociada con SNI a través de HTTPS) a *.example.com, se envía una petición de un dominio configurado de manera simultánea explícitamente (por ejemplo, abc.example.com) hacia los servidores que escuchan detrás de * .example.com. El resultado en su lugar debería ser 421 Misdirected Request. Imagine un proxy directo de almacenamiento en caché compartido que reutiliza una conexión HTTP/2 para una subred grande con muchos usuarios. Si una víctima está interactuando con abc.example.com, y un servidor (para abc.example.com) recicla la conexión TCP al proxy directo, el navegador de la víctima puede comenzar a enviar datos confidenciales hacia un servidor *.example.com. Esto ocurre porque el proxy de reenvío entre la víctima y el servidor de origen reutiliza las conexiones (que obedecen la especificación), pero ni Istio ni Envoy corrigen esto al enviar un error 421. Del mismo modo, este comportamiento anula los modelos de seguridad que los navegadores han implementado entre dominios.