Matt Klein

**Nome do software vulnerável e versões afetadas** Versões do Envoy anteriores à 1.15.0 **Descrição** O problema ocorre porque o Envoy considera apenas o primeiro valor quando há vários valores para alguns cabeçalhos HTTP. Além disso, a API de mapeamento de cabeçalhos setCopy() do Envoy não substitui todas as ocorrências existentes de um cabeçalho não embutido. **Recomendações** Para versões anteriores à 1.15.0, atualize para a versão 1.15.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o uso da API de mapeamento de cabeçalhos setCopy() para minimizar o risco de exploração. Evite usar cabeçalhos não inline nos pontos de extremidade da API afetados até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Versões 1.14.2, 1.13.2, 1.12.4 ou anteriores do Envoy **Descrição** O problema ocorre quando um cliente HTTP/2 solicita uma carga útil de grande porte, mas não envia atualizações de janela suficientes para consumir todo o fluxo e não reinicia o fluxo, levando a um aumento no uso de memória. **Recomendações** Para as versões 1.14.2, 1.13.2, 1.12.4 ou anteriores do Envoy, considere restringir o tamanho das cargas de dados provenientes de clientes HTTP/2 ou implementar medidas para lidar com fluxos que não são consumidos adequadamente, como reiniciar os fluxos após um determinado período de inatividade, até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.