PT-2021-14460 · Envoy · Envoy
Farcaller
·
Publicado
2021-03-11
·
Atualizado
2024-03-06
·
CVE-2021-21378
CVSS v3.1
8.2
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N |
Nome do software vulnerável e versões afetadas
Envoy versão 1.17.0
Descrição
A vulnerabilidade permite que um invasor contorne a autenticação apresentando um token JWT com um emissor que não consta na lista de provedores quando o filtro de autenticação JWT do Envoy está configurado com o requisito
allow missing sob requires any. Isso se deve a um erro de implementação em que um erro JwtUnknownIssuer foi erroneamente convertido para JwtMissed quando requires any foi configurado. Como resultado, allow missing permitiria um token JWT com status de emissor desconhecido, afetando potencialmente a integridade dependendo da configuração, caso o token JWT seja usado para proteção contra gravações ou modificações.Recomendações
Para a versão 1.17.0 do Envoy, atualize para a versão 1.17.1 para corrigir a vulnerabilidade. Como solução alternativa temporária, considere desativar o requisito
allow missing em requires any na configuração do filtro de autenticação JWT até que a atualização seja aplicada. Além disso, os usuários podem habilitar logs de depuração no nível do componente para JWT a fim de detectar possíveis tentativas de contorno, o que indicará uma solicitação com um token JWT e uma falha informando que o token JWT está ausente.Correção
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Envoy