CVE-2022-29227
Təsvir
Envoy bulud yerli (cloud-native), yüksək performanslı kənar/orta/servis proksisidir. 1.22.1 versiyasından əvvəlki versiyalarda, əgər Envoy yalnız HTTP başlıqlarından ibarət olmayan bir HTTP sorğusunun daxili yönləndirməsini göndərməyə çalışarsa, aktivlik müddəti ilə bağlı xəta (lifetime bug) baş verə bilər. Sorğu yenidən icra edilərkən, yönləndirmə başlıqları emal olunduğu zaman Envoy lokal cavab göndərərsə, aşağı axın vəziyyəti (downstream state) aşağı axın axınının tamamlanmadığını göstərir. Lokal cavabı göndərərkən Envoy yuxarı axın axınını (upstream stream) sıfırlamağa çalışacaq, lakin həmin axın artıq tamamlandığı və silindiyi üçün bu, use-after-free xətasına səbəb olur. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Yeniləmə edə bilməyən istifadəçilərə, sistem çökmələri müşahidə edildikdə daxili yönləndirmələri deaktiv etmək tövsiyə olunur.
Necə düzəltmək olar
- envoyproxy envoy1.22.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| envoyproxy envoy | v < 1.22.1 | 1.22.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.