Mattklein123

O Envoy é um proxy de borda e de serviços de código aberto, projetado para aplicações nativas da nuvem. Quando um cluster é excluído por meio do Cluster Discovery Service (CDS), todas as conexões inativas estabelecidas com os endpoints desse cluster são desconectadas. Foi introduzida uma recursão no procedimento de desconexão de conexões inativas que pode levar ao esgotamento da pilha e ao encerramento anormal do processo quando um cluster possui um grande número de conexões inativas. Essa recursão infinita faz com que o Envoy trave.

A vulnerabilidade diz respeito ao Envoy, um proxy de borda e de serviço de código aberto para aplicações nativas da nuvem. Ela permite a reutilização de TLS quando determinadas configurações de validação de certificados são alteradas em relação à configuração padrão. Recomenda-se aos usuários que garantam o uso das configurações padrão de TLS como medida alternativa. Não há informações disponíveis sobre o número estimado de dispositivos potencialmente afetados ou incidentes reais em que essa vulnerabilidade tenha sido explorada.

O roteador comum do Envoy apresentará uma falha de segmentação (segfault) se um redirecionamento interno selecionar uma rota configurada com ações de resposta direta ou redirecionamento, resultando em uma negação de serviço.

O problema está relacionado a um bug de “confusão de tipos” nas rotinas padrão de validação de certificados ao processar subjectAltNames. Isso permite, por exemplo, que um `rfc822Name` ou `uniformResourceIndicator` seja autenticado como um nome de domínio, possibilitando a contornar as `nameConstraints` conforme processadas pela implementação subjacente do OpenSSL/BoringSSL. Como resultado, o Envoy confiará em certificados upstream que não deveriam ser confiáveis, expondo a possibilidade de falsificação de identidade de servidores arbitrários.

O problema diz respeito ao Envoy, um proxy de borda e de serviço de código aberto projetado para aplicativos nativos da nuvem. Nas versões afetadas, o Envoy não restringe o conjunto de certificados que aceita do par, seja como cliente TLS ou servidor TLS, apenas aos certificados que contêm o extendedKeyUsage necessário (id-kp-serverAuth e id-kp-clientAuth, respectivamente). Isso significa que um par pode apresentar um certificado de e-mail (por exemplo, id-kp-emailProtection), seja como um certificado final ou como uma CA na cadeia, e ele será aceito para TLS. Como resultado, o Envoy confiará em certificados upstream que não deveriam ser confiáveis.

A vulnerabilidade afeta o Envoy, um proxy de borda e de serviço de código aberto para aplicativos nativos da nuvem. Uma solicitação maliciosamente criada pode causar a falha do Envoy quando uma solicitação CONNECT é enviada ao filtro JWT configurado com correspondência por expressão regular, proporcionando um vetor de ataque de negação de serviço.

O problema ocorre quando o Envoy, um proxy de borda e de serviços de código aberto, não consegue interromper corretamente a operação quando o buffer transborda enquanto uma resposta está sendo processada pela cadeia de filtros. Isso pode resultar no acesso a um bloco de memória liberado, causando a falha do Envoy e levando a uma negação de serviço. O Envoy foi projetado para monitorar a quantidade de dados de solicitação e resposta armazenados no buffer e abortar a solicitação se a quantidade de dados no buffer exceder o limite, enviando respostas 413 ou 500.

Ocorre uma falha no Envoy quando ele está configurado para tunelamento upstream e a conexão downstream é desconectada enquanto a conexão upstream ou o fluxo HTTP/2 ainda estão sendo estabelecidos.

**Nome do software vulnerável e versões afetadas: Versões do Envoy anteriores à 1.71.1 Descrição: Existe uma vulnerabilidade de estouro de inteiro explorável remotamente devido a um valor muito alto de grpc-timeout, o que leva a cálculos de tempo limite inesperados. Recomendações: Para versões anteriores à 1.71.1, atualize para uma versão que contenha uma correção para este problema.

**Nome do software vulnerável e versões afetadas: Versões do Envoy anteriores à 1.71.1 Descrição: Existe uma vulnerabilidade explorável remotamente que pode causar a desreferência de um ponteiro NULL e uma falha no TLS quando um código de alerta TLS desconhecido é recebido. Recomendações: Para versões anteriores à 1.71.1, atualize para uma versão que contenha uma correção para esta vulnerabilidade, a fim de evitar a exploração remota.

**Nome do software vulnerável e versões afetadas: Envoy versão 1.14.0 Descrição: Foi descoberta uma falha que permite uma falha de sistema explorável remotamente para metadados HTTP2. Isso ocorre porque um mapa METADATA vazio aciona uma Reachable Assertion. Recomendações: Para a versão 1.14.0 do Envoy, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

O problema ocorre porque o Envoy considera apenas o primeiro valor quando há vários valores para alguns cabeçalhos HTTP. Além disso, a API de mapeamento de cabeçalhos setCopy() do Envoy não substitui todas as ocorrências existentes de um cabeçalho não embutido.