CVE-2026-53714

Nome do Software Vulnerável e Versões Afetadas Envoy Gateway (versões afetadas não especificadas)

Descrição Ao operar no modo GatewayNamespaceMode (provider.kubernetes.deploy.type=GatewayNamespace), o servidor gRPC xDS não possui um UnaryInterceptor, deixando os endpoints Fetch sem autenticação. Além disso, o interceptor de autenticação JWT valida tokens apenas para mensagens discoveryv3.DeltaDiscoveryRequest. Se for utilizada uma discoveryv3.DiscoveryRequest — que faz parte do protocolo xDS State-of-the-World (SotW) — a validação de autenticação é ignorada. Isso permite que qualquer pod no cluster com acesso de rede ao servidor xDS na porta 18000 ignore a autenticação e acesse dados sensíveis, incluindo chaves privadas TLS via StreamSecrets (SDS), recursos xDS via StreamAggregatedResources (ADS), endpoints de backend via StreamClusters e StreamEndpoints (CDS/EDS), e regras de roteamento via StreamRoutes e StreamListeners (RDS/LDS).

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.