PT-2022-11914 · Envoy · Envoy

Mattklein123 · Publicado 2022-02-22 · Atualizado 2024-03-06 · CVE-2021-43825

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Envoy (versões afetadas não especificadas)

Descrição

O problema ocorre quando o Envoy, um proxy de borda e de serviços de código aberto, não consegue interromper corretamente a operação quando o buffer transborda enquanto uma resposta está sendo processada pela cadeia de filtros. Isso pode resultar no acesso a um bloco de memória liberado, causando a falha do Envoy e levando a uma negação de serviço. O Envoy foi projetado para monitorar a quantidade de dados de solicitação e resposta armazenados no buffer e abortar a solicitação se a quantidade de dados no buffer exceder o limite, enviando respostas 413 ou 500.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

DoS

Use After Free

Enumeração de Fraquezas

CWE-416

Identificadores relacionados

BIT-ENVOY-2021-43825

CVE-2021-43825

GHSA-H69P-G6XG-MHHH

RHSA-2022:1275

RHSA-2022:1276

Produtos afetados

Envoy

Referências · 6

• https://github.com/envoyproxy/envoy/commit/148de954ed3585d8b4298b424aa24916d0de6136 · Correção
• https://github.com/envoyproxy/envoy/security/advisories/GHSA-h69p-g6xg-mhhh · Nota
• https://t.me/cibsecurity/37916 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-43825 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-43825 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-envoy-2021-43825 · Aviso do Fabricante