Thomas Brüggemann

**Nome do Software Vulnerável e Versões Afetadas** Versões do Envoy anteriores a 1.32.10 Versões do Envoy de 1.33.0 a 1.33.6 Versões do Envoy de 1.34.0 a 1.34.4 Versões do Envoy 1.35.0 **Descrição** O Envoy é um proxy L7 e barramento de comunicação de código aberto projetado para grandes arquiteturas modernas orientadas a serviços. A Expiração de Sessão Insuficiente no filtro OAuth2 do Envoy leva a falhas nas operações de logout. Quando configurado com nomes de cookie prefixados com ` Secure-` ou ` Host-`, o filtro falha ao anexar o atributo Secure necessário ao cabeçalho Set-Cookie durante a exclusão. Navegadores modernos ignoram essa solicitação inválida, fazendo com que o cookie de sessão persista. Isso permite que um usuário permaneça logado após acreditar que fez logout, criando um risco de sequestro de sessão em computadores compartilhados. O problema surge porque a implementação itera sobre os nomes de cookie configurados para gerar cabeçalhos de exclusão, mas não verifica esses prefixos, resultando em cabeçalhos de exclusão construídos incorretamente e cookies de sessão persistentes. **Recomendações** Atualize para a versão 1.32.10 ou posterior do Envoy. Atualize para a versão 1.33.7 ou posterior do Envoy. Atualize para a versão 1.34.5 ou posterior do Envoy. Atualize para a versão 1.35.1 ou posterior do Envoy.