CVE-2026-73553
Təsvir
Envoy bulud yerli tətbiqlər üçün hazırlanmış açıq mənbəli kənar və servis proksisidir. 1.36.10, 1.37.6, 1.38.4 və 1.39.1 versiyalarından əvvəl, ignore_path_parameters_in_path_matching aktiv olduqda, Envoy-un routeri uyğunlaşdırmadan əvvəl nöqtəli vergül suffiksini silir, lakin RBAC url_path uyğunlaşdırıcısı xam yolu qiymətləndirir. Buna görə də, /admin;x kimi aşağı axın sorğusu /admin üçün olan DENY qaydasını ötürə bilər, halbuki router hələ də qorunan /admin backend-ni seçir. Qeyri-ardıcıl kanonikləşdirmə autentifikasiya olunmamış kliyentin yol əsaslı avtorizasiyadan yan keçməsinə şərait yaradır. Müvafiq əhatə sərhədi ondan ibarətdir ki, həm marşrut seçimi, həm də yol əsaslı RBAC qaydası mövcud olmalı və qorunan marşrut silinmədən sonra uyğun gəlməlidir. Bu problem 1.36.10, 1.37.6, 1.38.4 və 1.39.1 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- envoyproxy envoy1.36.10, 1.37.6, 1.38.4, 1.39.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| envoyproxy envoy | v < 1.36.10, 1.37.0 ≤ v < 1.37.6, 1.38.0 ≤ v < 1.38.4, 1.39.0 ≤ v < 1.39.1 | 1.36.10, 1.37.6, 1.38.4, 1.39.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.