CVE-2026-73552
Təsvir
Envoy bulud yerli tətbiqlər üçün nəzərdə tutulmuş açıq mənbəli kənar və servis proksisidir. 1.36.10, 1.37.6, 1.38.4 və 1.39.1 versiyalarından əvvəl Envoy HTTP RBAC RFC standartlarına uyğun şəffaf (opaque) başlıq baytlarını qəbul edir, lakin safe_regex dəyərlərini RE2-nin UTF-8 mövzu semantikası ilə qiymətləndirir. Downstream kliyenti qadağan olunmuş markerləri saxlaya və əlaqəsiz obs-text okteti əlavə edə bilər ki, bu da RE2::FullMatch funksiyasının "false" qaytarmasına və mənfi RBAC siyasətinin etibarsız mövzunu adi "no-match" kimi qəbul etməsinə səbəb olur. Bayt yönümlü marşrut uyğunlaşdırıcısı hələ də markerləri müşahidə edə bildiyi üçün sorğunun rədd edilməsi nəzərdə tutulan marşruta çatmasına imkan verir. Müvafiq əhatə dairəsi ondan ibarətdir ki, sadə müsbət ALLOW regex-ləri normalda "fail closed" prinsipi ilə işləyir və dəqiq, prefiks, suffiks və "contains" uyğunlaşdırıcılarında bu mövzu-domen xətası aşkar edilməmişdir. Bu problem 1.36.10, 1.37.6, 1.38.4 və 1.39.1 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- envoyproxy envoy1.36.10, 1.37.6, 1.38.4, 1.39.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| envoyproxy envoy | v < 1.36.10, 1.37.0 ≤ v < 1.37.6, 1.38.0 ≤ v < 1.38.4, 1.39.0 ≤ v < 1.39.1 | 1.36.10, 1.37.6, 1.38.4, 1.39.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.