PT-2022-16121 · Envoy · Envoy

Mattklein123 · Publicado 2022-02-22 · Atualizado 2024-03-06 · CVE-2022-23606

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.4

Média

Vetor base

AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Envoy (versões afetadas não especificadas)

Descrição

O Envoy é um proxy de borda e de serviços de código aberto, projetado para aplicações nativas da nuvem. Quando um cluster é excluído por meio do Cluster Discovery Service (CDS), todas as conexões inativas estabelecidas com os endpoints desse cluster são desconectadas. Foi introduzida uma recursão no procedimento de desconexão de conexões inativas que pode levar ao esgotamento da pilha e ao encerramento anormal do processo quando um cluster possui um grande número de conexões inativas. Essa recursão infinita faz com que o Envoy trave.

Recomendações

Recomenda-se que os usuários atualizem o software.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Uncontrolled Recursion

Enumeração de Fraquezas

CWE-674

Identificadores relacionados

BIT-ENVOY-2022-23606

CVE-2022-23606

GHSA-9VP2-4CP7-VVXF

RHSA-2022:1275

RHSA-2022:1276

Produtos afetados

Envoy

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/23xxx/CVE-2022-23606.json · Exploit
• https://github.com/envoyproxy/envoy/commit/4b6dd3b53cd5c6d4d4df378a2fc62c1707522b31 · Correção
• https://github.com/envoyproxy/envoy/security/advisories/GHSA-9vp2-4cp7-vvxf · Nota
• https://osv.dev/vulnerability/BIT-envoy-2022-23606 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-23606 · Nota de Segurança
• https://t.me/cibsecurity/37912 · Publicação no Telegram
• https://t.me/cvenotify/27608 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-23606 · Aviso do Fabricante
• https://t.me/cvenotify/27188 · Publicação no Telegram