PT-2020-5141 · Cncf · Envoy

Turbotankist · Publicado 2020-03-04 · Atualizado 2024-03-06 · CVE-2020-8660

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do CNCF Envoy anteriores à 1.13.0

Descrição

O problema está relacionado à autenticação insuficiente de dados no software de rede Envoy. Isso permite que um invasor remoto contorne restrições de segurança usando apenas o TLS 1.3, o que pode levar ao acesso não autorizado a informações protegidas. O inspetor TLS pode ser contornado, e as conexões podem ser direcionadas para a cadeia de filtros errada, potencialmente contornando algumas restrições de segurança.

Recomendações

Para versões anteriores à 1.13.0, atualize para a versão 1.13.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso do TLS 1.3 até que um patch esteja disponível. Restrinja o acesso ao inspetor TLS para minimizar o risco de exploração. Evite usar as extensões TLS (SNI, ALPN) nas conexões afetadas até que o problema seja resolvido.

Correção

Insufficient Verification of Data Authenticity

Enumeração de Fraquezas

CWE-345

Identificadores relacionados

BDU:2020-05737

BIT-ENVOY-2020-8660

CVE-2020-8660

GHSA-C4G8-7GRC-5WVX

RHSA-2020:0734

Produtos afetados

Envoy

Referências · 9

• https://github.com/envoyproxy/envoy/security/advisories/GHSA-c4g8-7grc-5wvx · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-8660 · Nota de Segurança
• https://t.me/cvenotify/1340 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2020-05737 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-envoy-2020-8660 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-8660 · Aviso do Fabricante
• https://access.redhat.com/errata/RHSA-2020:0734 · Aviso do Fabricante
• https://envoyproxy.io/docs/envoy/v1.13.1/intro/version_history · Aviso do Fabricante
• https://access.redhat.com/security/cve/cve-2020-8660 · Nota