PT-2022-15009 · Envoy · Envoy

Mattklein123 · Publicado 2022-02-22 · Atualizado 2024-03-06 · CVE-2022-21654

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Envoy (versões afetadas não especificadas)

Descrição

A vulnerabilidade diz respeito ao Envoy, um proxy de borda e de serviço de código aberto para aplicações nativas da nuvem. Ela permite a reutilização de TLS quando determinadas configurações de validação de certificados são alteradas em relação à configuração padrão. Recomenda-se aos usuários que garantam o uso das configurações padrão de TLS como medida alternativa. Não há informações disponíveis sobre o número estimado de dispositivos potencialmente afetados ou incidentes reais em que essa vulnerabilidade tenha sido explorada.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade. Como solução temporária, considere garantir que as configurações padrão do TLS sejam utilizadas até que um patch esteja disponível.

Exploit

Improper Certificate Validation

Enumeração de Fraquezas

CWE-295

Identificadores relacionados

BIT-ENVOY-2022-21654

CVE-2022-21654

GHSA-5J4X-G36V-M283

RHSA-2022:1275

RHSA-2022:1276

Produtos afetados

Envoy

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/21xxx/CVE-2022-21654.json · Exploit
• https://github.com/envoyproxy/envoy/commit/e9f936d85dc1edc34fabd0a1725ec180f2316353 · Correção
• https://github.com/envoyproxy/envoy/security/advisories/GHSA-5j4x-g36v-m283 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-21654 · Nota de Segurança
• https://t.me/cibsecurity/37915 · Publicação no Telegram
• https://t.me/cvenotify/27192 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-envoy-2022-21654 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-21654 · Aviso do Fabricante