CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
エージェントバージョンの報告、TLSポリシーの挙動、性能、複数の不具合が更新され、セキュリティ修正も含まれます。セキュリティに関する変更はアップグレードが必要で、その他の修正は該当するデプロイメントを利用している場合を除き情報提供です。
要対応 (1)
securityエージェントレベルでのセレクター記録停止
機密情報が漏えいする可能性を避けるため、エージェントレベルでセレクターをログに記録しなくなりました（#6732）。
影響確認 (1)
securityサーバーTCPエンドポイントのTLSセッションチケット無効化
サーバーのTCPエンドポイントを使用している場合に適用されます。
サーバーのTCPエンドポイントで、TLSセッションチケットの再開により現在の信頼バンドルに対するSPIFFE証明書チェーン検証を回避できる問題を修正しました。サーバー側ではTLSセッションチケットを無効にし、すべての接続でVerifyPeerCertificateが実行されます（#6715）。
サーバーノードアテスタープラグインで、SSRF攻撃とCPU時間の過剰消費につながる2件の問題が修正されています。
影響確認 (2)
securityhttp_challengeのSSRF脆弱性を修正
http_challengeを利用している場合に適用されます。
http_challengeサーバーノードアテスタープラグインで、攻撃者が通常アクセスできないドメインへサーバーを誘導し、spire-serverに認証なしのGETリクエストを送信させる問題を修正しました。spire-serverは応答の先頭64バイトを攻撃者に返していました。
securityx509popのCPU時間過剰消費問題を修正
x509popを利用している場合に適用されます。
x509popサーバーノードアテスタープラグインで、ノードのアテステーション処理中に攻撃者がspire-serverへ過大なCPU時間を消費させる問題を修正しました。
サーバーノードアテスターに関するセキュリティ問題を修正しています。該当するプラグインを運用している環境では、修正版への更新が必要です。
影響確認 (2)
securityhttp_challenge のSSRF攻撃問題を修正
http_challenge サーバーノードアテスタープラグインを使用している場合に該当します。
攻撃者がサーバーを通常はアクセスできないドメインへ誘導し、spire-server にそのドメインへの認証なしのGETリクエストを送らせ、応答の先頭64バイトを取得できる問題を修正しました。
securityx509pop のCPU過剰消費問題を修正
x509pop サーバーノードアテスタープラグインを使用している場合に該当します。
ノードのアテステーション処理で、攻撃者が spire-server に不釣り合いに大量のCPU時間を消費させられる問題を修正しました。
