CVE-2020-15104

Envoy'un 1.12.6, 1.13.4, 1.14.4 ve 1.15.0 sürümlerinden önceki versiyonlarında, TLS sertifikaları doğrulanırken Envoy, joker karakterli (wildcard) bir DNS Subject Alternative Name ifadesinin yanlışlıkla birden fazla alt alan adına uygulanmasına izin vermekteydi. Örneğin, *.example.com şeklinde bir SAN ile Envoy, yalnızca subdomain.example.com adresine izin vermesi gerekirken, hatalı bir şekilde nested.subdomain.example.com adresine de izin veriyordu. Bu kusur, hem mTLS kapsamında bir istemci TLS sertifikasının doğrulanması hem de üst akış (upstream) bağlantıları için bir sunucu TLS sertifikasının doğrulanması durumları için geçerlidir. Bu güvenlik açığı, yalnızca güvenilmeyen bir kuruluşun, sizin sadece belirli bir alt alan adına güvenmek istediğiniz bir alan adı için imzalı bir joker karakterli TLS sertifikası alabildiği durumlar için geçerlidir. Örneğin, api.mysubdomain.example.com adresine güvenmek istiyorsanız ve güvenilmeyen bir aktör *.example.com veya *.com için imzalı bir TLS sertifikası alabiliyorsa bu risk oluşur. Herhangi bir Envoy sürümünde verify_subject_alt_name kullanan konfigürasyonlar veya 1.14 ve sonrası sürümlerde match_subject_alt_names kullanan konfigürasyonlar bu açıktan etkilenmektedir. Bu sorun Envoy 1.12.6, 1.13.4, 1.14.4, 1.15.0 sürümlerinde giderilmiştir.