CVE-2023-27493
Açıklama
Envoy, bulut-yerel uygulamalar için tasarlanmış açık kaynaklı bir edge ve servis proxy'sidir. 1.26.0, 1.25.3, 1.24.4, 1.23.6 ve 1.22.9 sürümlerinden önce, Envoy istek başlıkları oluştururken istek özelliklerini temizlemez veya kaçış karakteriyle işlemez. Bu durum, başlık değerlerinde yasa dışı olan karakterlerin upstream servise gönderilmesine yol açabilir. En kötü durumda, upstream servisin orijinal isteği iki ardışık istek olarak yorumlamasına ve muhtemelen Envoy'un güvenlik politikasının amacının atlatılmasına neden olabilir. 1.26.0, 1.25.3, 1.24.4, 1.23.6 ve 1.22.9 sürümleri bir yama içerir. Geçici çözüm olarak, downstream sertifika özellikleri gibi downstream istek özelliklerine dayalı istek başlıkları eklemeyi devre dışı bırakın.
Nasıl düzeltilir
- envoyproxy envoy1.22.9, 1.23.6, 1.24.4, 1.25.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| envoyproxy envoy | v < 1.22.9, 1.23.0 ≤ v < 1.23.6, 1.24.0 ≤ v < 1.24.4, 1.25.0 ≤ v < 1.25.3 | 1.22.9, 1.23.6, 1.24.4, 1.25.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.