GHSA-rr2c-p22p-6r9rCVSS 8.2Ambient 端口级 mTLS 绕过
网格 STRICT 下，工作负载设为 PERMISSIVE／DISABLE 时，端口级 STRICT PeerAuthentication 可能被跳过，允许明文进入该端口。
Istio 11 月批次修复 mTLS、策略及代理绕过、多集群密钥泄露和拒绝服务
Istio 在 1.31.4／1.30.8 修复八项公告及 JWKS 缓存校验问题。特定配置下可绕过 ambient mTLS、授权或 sidecar 拦截，泄露多集群密钥，或中断 istiod／ztunnel。调试请求导致的控制面崩溃需要网格身份；已核阅厂商通告未报告实际利用。
- 披露时间
- 2026年11月6日
- 公开披露日期
- 严重程度
- CVSS 8.2 × 1
- 本页收录 8 个 CVE
- 波及范围
- Istio 1.31.0–1.31.3、1.30.0–1.30.7；影响取决于 ambient、HBONE、策略、多集群及网格身份使用。
- Istio · Service mesh · Authorization
- 在野利用
- 未知
- 已核阅厂商公告及发行说明未报告实际利用。
发生了什么
这是新的 Istio 公告批次，与此前 eMudhra 信任锚处置不同。各漏洞条件不同，并非每个安装都暴露于所有绕过；调试崩溃需要有效网格身份。JWKS 修复是在缓存前校验周期获取的响应，不代表发现新的恶意密钥或确认客户资料被盗。未确立受害人数或实际攻击活动。L3 依据是主流服务网格安全边界风险，而非已确认利用。
马桶里有什么
GHSA-7m6f-j3gp-2r53CVSS 6.5Host 标头授权绕过
Host 值字母大小写变化可绕过 request.headers[:authority] 或 request.headers[host] 上的 AuthorizationPolicy 条件。
GHSA-cxwg-46mx-q8hfCVSS 7.4过期连接跟踪绕过 sidecar
复用已拆除连接的四元组可能命中过期 ESTABLISHED 记录，绕过 iptables／nftables sidecar 流量拦截。
GHSA-635j-qv98-9275CVSS 7.7已认证调试请求使 istiod 崩溃
持有网格身份的工作负载可在 istio.io/debug xDS 请求发送无法解析的资源名，使整个网格控制面持续崩溃。
GHSA-8jw7-82jp-wr2cCVSS 6.3空 ambient 策略使 istiod 崩溃
带空 to／from 条目且未被 webhook 拒绝的 ambient AuthorizationPolicy 可使 istiod 持续崩溃，直至删除该策略。
GHSA-gf6w-6mxv-5fj4CVSS 6.3多集群 SDS 密钥泄露
代理可声称属于另一 CLUSTER_ID，通过 SDS 取得另一集群的 kubernetes:// 密钥。
GHSA-77vw-rg85-wx5xCVSS 6.5畸形 traceparent 中断 HBONE 流
畸形 55 字节 traceparent 标头可终止 ztunnel 入站 HBONE 连接任务，中断其中全部复用流。
GHSA-9gqj-583v-mpqpCVSS 5.6HBONE 客户端 IP 拒绝规则失效
Ambient waypoint 及接收 HBONE 的 sidecar 中，ipBlocks／notIpBlocks／source.ip 可能匹配内部监听地址，使 DENY 规则放行。
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| Istio 1.31 | 1.31.4 | |
| Istio 1.30 | 1.30.8 |
案发时间线
2026年11月6日
Istio 发布 2026-009 安全批次和两条分支修复
公告及发行说明涵盖八项 GHSA，另修复周期性 JWKS 刷新缺少响应校验。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Istio 2026-009 原始安全公告一手来源八项 GHSA、拓扑／策略前提、分支范围、修复版本及客户端 IP 临时方法。
- Istio 1.31.4 发行说明一手来源确认八项修复、JWKS 周期刷新校验及控制面／数据面相关变更。
- Istio 1.30.8 发行说明一手来源确认 1.30 分支回移的安全批次及相应修复。