漏洞概述 Istio 的 xDS debug handler 存在安全漏洞,未能正确传递或验证调用者的命名空间(caller namespace)。这可能导致跨命名空间的访问控制绕过(cross-namespace access),即一个命名空间的用户可能访问到另一个命名空间的调试信息。 影响范围 修复方案 1. 提取命名空间: 在 函数中,从 HTTP 请求的 context 中提取 以获取调用者的命名空间。 2. 传递上下文: 将该命名空间传递给 或 ,确保资源生成逻辑知道调用者的身份。 3. 注入 Context: 在创建 HTTP 请求时,使用 将 注入到 context 中,确保后续处理链能获取到该信息。 关键代码 1. 测试用例 (POC/验证逻辑) 2. 修复代码 (debug.go)