CVE-2021-39155

Istio es una plataforma de código abierto que proporciona una forma uniforme de integrar microservicios, administrar el flujo de tráfico entre microservicios, aplicar políticas y agregar datos de telemetría. Según [RFC 4343](https://datatracker.ietf.org/doc/html/rfc4343), la política de autorización de Istio debería comparar el nombre de host en el encabezado HTTP Host de forma no sensible a mayúsculas y minúsculas, pero actualmente la comparación es sensible a mayúsculas y minúsculas. El proxy enrutará el nombre de host de la petición de forma no sensible a mayúsculas y minúsculas, lo que significa que la política de autorización podría ser omitida. Por ejemplo, el usuario puede tener una política de autorización que rechace peticiones con el nombre de host "httpbin.foo" para algunas IPs de origen, pero el atacante puede omitir esto mediante el envío de la petición con el nombre de host "Httpbin.Foo". Los parches están disponibles en Istio versión 1.11.1, Istio versión 1.10.4 e Istio versión 1.9.8. Como solución, puede escribirse un filtro Lua para normalizar el encabezado Host antes de la comprobación de la autorización. Esto es similar a la normalización de la Ruta presentada en la guía [Security Best Practices](https://istio.io/latest/docs/ops/best-practices/security/#case-normalization).

An authorization bypass vulnerability was found in istio/istio. The case insensitive host comparison incorrectly works when evaluating rules specified with `host` or `notHost`. This flaw allows an attacker to bypass an Istio authorization policy that uses hosts in the rules, potentially gaining access to the downstream services. The highest threat from this vulnerability is to confidentiality, integrity, as well as system availability.