PT-2024-2651 · Envoy · Envoy
Bartek Nowotarski
·
Publicado
2024-01-05
·
Atualizado
2025-09-04
·
CVE-2024-30255
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
Versões do Envoy anteriores à 1.29.3
Versões do Envoy anteriores à 1.28.2
Versões do Envoy anteriores à 1.27.4
Versões do Envoy anteriores à 1.26.8
Descrição
A pilha de protocolos HTTP/2 no Envoy está vulnerável ao esgotamento da CPU devido a uma inundação de quadros CONTINUATION. Isso permite que um invasor envie uma sequência de quadros CONTINUATION sem o bit END HEADERS definido, causando alta utilização da CPU e culminando em negação de serviço por esgotamento da CPU.
Recomendações
Para versões anteriores à 1.29.3, atualize para a versão 1.29.3 para mitigar os efeitos da inundação de CONTINUATION.
Para versões anteriores à 1.28.2, atualize para a versão 1.28.2 para mitigar os efeitos da inundação de CONTINUATION.
Para versões anteriores à 1.27.4, atualize para a versão 1.27.4 para mitigar os efeitos da inundação de CONTINUATION.
Para versões anteriores à 1.26.8, atualize para a versão 1.26.8 para mitigar os efeitos da inundação de CONTINUATION.
Como solução alternativa temporária, considere desativar o protocolo HTTP/2 para conexões downstream.
Exploit
Correção
DoS
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Envoy