이스티오 보안 릴리스 3종 공개, 취약점 4건 수정

1. 개요
서비스 메시 프로젝트 이스티오(Istio)가 2026년 10월 15일 보안 공지 ISTIO-SECURITY-2026-007을 내고 패치 버전 1.31.2, 1.30.6, 1.29.9를 공개했습니다. 영향 범위는 1.31.0부터 1.31.1, 1.30.0부터 1.30.5, 1.29.0부터 1.29.8까지입니다. 해당 대역을 쓰고 있다면 같은 마이너 라인의 패치 버전으로 올리면 됩니다.

2-1. 이스티오 자체 취약점 2건
이번에 수정된 이스티오 쪽 항목은 다음과 같습니다.

• GHSA-w44g-8m76-8gc5 (CVSS 7.4): HTTP/2 요청에서 메서드 이름의 대소문자를 바꾸면 AuthorizationPolicy의 메서드 규칙을 우회할 수 있던 문제입니다.
• GHSA-7p2q-4xvg-vxc6 (CVSS 7.7): 앰비언트 모드에서 ServiceEntry 등이 IP 주소형 웨이포인트의 주소를 가로채면 istiod가 중단되는 서비스 거부 문제입니다.

2-2. 엔보이(Envoy)에서 넘어온 취약점 2건
데이터 플레인 프록시 엔보이에서 보고된 두 건도 함께 반영됐습니다. GHSA-8vc2-jrm4-835w(CVSS 7.5)는 OAuth2 HTTP 필터가 :path 헤더 없는 CONNECT 요청을 처리할 때 널 포인터 역참조로 비인증 원격 크래시가 나는 문제이고, GHSA-47vj-9r25-wv5j(CVSS 6.5)는 api_key_auth 필터에서 같은 형태의 CONNECT 요청에 크래시가 나는 문제입니다. 이 밖에 인증서 검증 보강, JWT 변형 처리, 게이트웨이 병합 제어 강화 등도 포함됐습니다.

3. 왜 중요한가
운영 관점에서 눈에 띄는 쪽은 AuthorizationPolicy 우회입니다. 예를 들어 아래처럼 GET만 허용하도록 적은 규칙이 있다고 할 때,

methods: ["GET"]

HTTP/2에서 메서드를 get처럼 소문자로 바꿔 보내면 대소문자를 구분하던 비교 때문에 규칙에 걸리지 않고 통과할 수 있었습니다. 즉 메서드 단위로 접근을 끊어 둔 정책이 기대와 다르게 뚫릴 수 있다는 뜻이라 접근 제어를 메시에 의존하는 환경이라면 영향이 큽니다. 패치 버전으로 올리면 메서드 비교가 정상화됩니다. 당장 올리기 어렵다면 앞단에서 메서드를 정규화하는 방식으로 임시 대응해 볼 수 있습니다.

🔗 https://istio.io/latest/news/security/istio-security-2026-007/