CVE-2022-29224
Açıklama
Envoy, bulut yerli yüksek performanslı bir proxydir. 1.22.1 öncesindeki Envoy sürümleri, GrpcHealthCheckerImpl içerisinde bir segmentation fault hatasına maruz kalmaktadır. Envoy, çeşitli türlerde upstream sağlık kontrolü gerçekleştirebilir; bunlardan biri gRPC kullanır. Envoy ayrıca, servis keşfi aracılığıyla elde edilen upstream hostları, yapılandırılmış aktif sağlık kontrolü başarısız olana kadar "tutabilen" (kaldırılmasını önleyen) bir özelliğe sahiptir. Bir saldırgan, bir upstream host'u ve bu host'un servis keşfini (DNS, EDS API vb. üzerinden) kontrol ediyorsa, host'un servis keşfinden kaldırılmasını zorlayıp ardından gRPC sağlık kontrolü isteğini başarısız kılarak Envoy'u çökertebilir. Bu durum, bir null pointer dereference yoluyla Envoy'un çökmesine neden olacaktır. Kullanıcıların bu güvenlik açığını gidermek için yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar, hafifletici önlem olarak gRPC sağlık kontrolünü devre dışı bırakabilir ve/veya bunu farklı bir sağlık kontrolü türüyle değiştirebilirler.
Nasıl düzeltilir
- envoyproxy envoy1.22.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| envoyproxy envoy | v < 1.22.1 | 1.22.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.