PT-2022-11913 · Envoy · Envoy

Mattklein123 · Publicado 2022-02-22 · Atualizado 2024-03-06 · CVE-2021-43824

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Envoy (versões afetadas não especificadas)

Descrição

A vulnerabilidade afeta o Envoy, um proxy de borda e de serviço de código aberto para aplicativos nativos da nuvem. Uma solicitação maliciosamente criada pode causar a falha do Envoy quando uma solicitação CONNECT é enviada ao filtro JWT configurado com correspondência por expressão regular, proporcionando um vetor de ataque de negação de serviço.

Recomendações

Como solução temporária, considere não usar expressões regulares no filtro JWT até que uma correção esteja disponível.

Recomenda-se que os usuários atualizem para uma versão mais recente para resolver o problema.

Correção

DoS

NULL Pointer Dereference

Enumeração de Fraquezas

CWE-476

Identificadores relacionados

BIT-ENVOY-2021-43824

CVE-2021-43824

GHSA-VJ5M-RCH8-5R2P

RHSA-2022:1275

RHSA-2022:1276

Produtos afetados

Envoy

Referências · 6

• https://github.com/envoyproxy/envoy/security/advisories/GHSA-vj5m-rch8-5r2p · Nota
• https://github.com/envoyproxy/envoy/commit/9371333230b1a6e1be2eccf4868771e11af6253a · Correção
• https://osv.dev/vulnerability/CVE-2021-43824 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-43824 · Nota de Segurança
• https://t.me/cibsecurity/37914 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-envoy-2021-43824 · Aviso do Fabricante