PT-2025-48969
CVE-2025-64527
·
تاريخ النشر
2025-12-03
·
تاريخ التحديث
2026-09-25
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Envoy من 1.33.12 إلى 1.36.2
الوصف
يعاني Envoy، وهو وكيل حافة/وسيط/خدمة عالي الأداء، من أعطال عندما يتم تكوين مصادقة JWT مع تمكين البحث عن JWKS عن بُعد، ويتم تعيين
allow missing or failed على true، وتوجد عدة رموز JWT في رؤوس الطلب، ويفشل البحث عن JWKS. تنشأ هذه المشكلة عن خطأ في إعادة الدخول في المكون JwksFetcherImpl. وعلى وجه التحديد، عندما تفشل عملية البحث عن JWKS للرمز الأولي، تبدأ دالة الاستدعاء onJwksError() في معالجة الرمز التالي، مما يؤدي إلى إطلاق استدعاء آخر لـ fetch() في نفس كائن المسترد. ثم تقوم عملية reset() اللاحقة بمسح حالة البحث الثاني، مما يؤدي إلى فشل عند وصول استجابة HTTP غير المتزامنة.التوصيات
قم بالتحديث إلى إصدار أعلى من 1.36.2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾