PT-2022-3386 · Envoy · Envoy

Shachar Menashe · Publicado 2022-06-09 · Atualizado 2024-03-06 · CVE-2022-29225

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do Envoy anteriores à 1.22.1

Descrição

O problema está relacionado ao componente decode/encodeBody do proxy Envoy, o que pode levar a um consumo descontrolado de recursos. Um invasor pode explorar essa vulnerabilidade enviando um arquivo zip especialmente criado, causando potencialmente uma negação de serviço devido ao esgotamento da memória do sistema. Isso pode ser feito por meio de um “zip bombing” no descompressor, no qual é enviada uma pequena carga altamente compactada.

Recomendações

Para versões anteriores à 1.22.1, recomenda-se que os usuários atualizem para uma versão mais recente a fim de resolver o problema.

Como solução alternativa temporária, considere desativar a descompressão para usuários que não possam realizar a atualização.

Exploit

Correção

DoS

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

CWE-409

Identificadores relacionados

BDU:2022-04157

BIT-ENVOY-2022-29225

CVE-2022-29225

GHSA-75HV-2JJJ-89HH

RHSA-2022:5003

RHSA-2022:5004

Produtos afetados

Envoy

Referências · 17

• 🔥 https://github.com/envoyproxy/envoy/security/advisories/GHSA-75hv-2jjj-89hh · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/29xxx/CVE-2022-29225.json · Exploit
• https://github.com/envoyproxy/envoy/commit/cb4ef0b09200c720dfdb07e097092dd105450343 · Correção
• https://t.me/cvenotify/31734 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2022-04157 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2022-29225 · Nota de Segurança
• https://linux.oracle.com/errata/ELSA-2022-9587.html · Aviso do Fabricante
• https://jfrog.com/blog/denial-of-service-vulnerability-in-envoy-proxy-cve-2022-29225 · Nota
• https://t.me/defcon_news/100003 · Publicação no Telegram
• https://t.me/secharvester/12512 · Publicação no Telegram
• https://t.me/cibsecurity/44154 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-29225 · Aviso do Fabricante
• https://linux.oracle.com/errata/ELSA-2022-9586.html · Aviso do Fabricante
• https://linux.oracle.com/errata/ELSA-2022-9588.html · Aviso do Fabricante
• https://access.redhat.com/security/cve/cve-2022-29225 · Nota