PT-2022-15011 · Envoy · Envoy

Mattklein123 · Publicado 2022-02-22 · Atualizado 2024-03-06 · CVE-2022-21656

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Envoy (versões afetadas não especificadas)

Descrição

O problema está relacionado a um bug de “confusão de tipos” nas rotinas padrão de validação de certificados ao processar subjectAltNames. Isso permite, por exemplo, que um rfc822Name ou uniformResourceIndicator seja autenticado como um nome de domínio, possibilitando a contornar as nameConstraints conforme processadas pela implementação subjacente do OpenSSL/BoringSSL. Como resultado, o Envoy confiará em certificados upstream que não deveriam ser confiáveis, expondo a possibilidade de falsificação de identidade de servidores arbitrários.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Type Confusion

Improper Certificate Validation

Enumeração de Fraquezas

CWE-843

CWE-295

Identificadores relacionados

BIT-ENVOY-2022-21656

CVE-2022-21656

GHSA-C9G7-XWCV-PJX2

Produtos afetados

Envoy

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/21xxx/CVE-2022-21656.json · Exploit
• https://github.com/envoyproxy/envoy/commit/bb95af848c939cfe5b5ee33c5b1770558077e64e · Correção
• https://github.com/envoyproxy/envoy/security/advisories/GHSA-c9g7-xwcv-pjx2 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-21656 · Nota de Segurança
• https://t.me/cvenotify/55026 · Publicação no Telegram
• https://t.me/cvenotify/27609 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-envoy-2022-21656 · Aviso do Fabricante
• https://t.me/cibsecurity/37911 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-21656 · Aviso do Fabricante
• https://t.me/cvenotify/27190 · Publicação no Telegram