PT-2022-15012 · Envoy · Envoy

Mattklein123 · Publicado 2022-02-22 · Atualizado 2024-03-06 · CVE-2022-21657

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.8

Média

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Envoy (versões afetadas não especificadas)

Descrição

O problema diz respeito ao Envoy, um proxy de borda e de serviço de código aberto projetado para aplicativos nativos da nuvem. Nas versões afetadas, o Envoy não restringe o conjunto de certificados que aceita do par, seja como cliente TLS ou servidor TLS, apenas aos certificados que contêm o extendedKeyUsage necessário (id-kp-serverAuth e id-kp-clientAuth, respectivamente). Isso significa que um par pode apresentar um certificado de e-mail (por exemplo, id-kp-emailProtection), seja como um certificado final ou como uma CA na cadeia, e ele será aceito para TLS. Como resultado, o Envoy confiará em certificados upstream que não deveriam ser confiáveis.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Improper Certificate Validation

Enumeração de Fraquezas

CWE-295

Identificadores relacionados

BIT-ENVOY-2022-21657

CVE-2022-21657

GHSA-837M-WJRV-VM5G

Produtos afetados

Envoy

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/21xxx/CVE-2022-21657.json · Exploit
• https://github.com/envoyproxy/envoy/security/advisories/GHSA-837m-wjrv-vm5g · Nota
• https://github.com/envoyproxy/envoy/pull/630 · Correção
• https://osv.dev/vulnerability/BIT-envoy-2022-21657 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-21657 · Nota de Segurança
• https://t.me/cvenotify/27830 · Publicação no Telegram
• https://t.me/cvenotify/27189 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-21657 · Aviso do Fabricante
• https://t.me/cibsecurity/37917 · Publicação no Telegram