CVE-2022-21657
Açıklama
Envoy, bulut yerli uygulamalar için tasarlanmış açık kaynaklı bir kenar ve servis proxy'sidir. Etkilenen sürümlerde Envoy, ister bir TLS istemcisi ister bir TLS sunucusu olarak olsun, karşı taraftan kabul ettiği sertifika kümesini yalnızca gerekli extendedKeyUsage (sırasıyla id-kp-serverAuth ve id-kp-clientAuth) içeren sertifikalarla sınırlandırmaz. Bu durum, bir karşı tarafın gerek yaprak sertifika gerekse zincirdeki bir CA olarak bir e-posta sertifikası (örneğin id-kp-emailProtection) sunabileceği ve bunun TLS için kabul edileceği anlamına gelir. Bu durum, özellikle pull request #630'da açıklanan sorunla birleştiğinde, yalnızca S/MIME ile kullanım için amaçlanan ve bu nedenle denetim veya gözetimden muaf tutulan bir Web PKI CA'nın, Envoy tarafından kabul edilecek TLS sertifikaları düzenlemesine izin verdiği için oldukça risklidir. Sonuç olarak Envoy, güvenilmemesi gereken upstream sertifikalarına güvenecektir. Bu soruna yönelik bilinen bir geçici çözüm yoktur. Kullanıcıların yükseltme yapmaları önerilir.
Nasıl düzeltilir
- envoyproxy envoy1.18.6, 1.19.3, 1.20.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| envoyproxy envoy | v < 1.18.6, 1.19.0 ≤ v < 1.19.3, 1.20.0 ≤ v < 1.20.2 | 1.18.6, 1.19.3, 1.20.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.