CVE-2024-23326
Açıklama
Envoy, bulut tabanlı ve açık kaynaklı bir kenar ve servis proxy'sidir. Eğer bir sunucu, yanıta bir upgrade başlığı eklemesi için kandırılabilirse, Envoy üzerinden teorik bir istek kaçakçılığı (request smuggling) zafiyeti oluşur. RFC https://www.rfc-editor.org/rfc/rfc7230#section-6.7 uyarınca, bir sunucu protokol değiştirirken 101 gönderir. Envoy, bir protokol yükseltme isteği sırasında sunucudan gelen 200 yanıtını hatalı bir şekilde kabul eder ancak 200, protokol değişimini belirtmez. Bu durum, eğer sunucu yanıta upgrade başlığını eklemesi için kandırılabiliyorsa, Envoy üzerinden istek kaçakçılığı olasılığını ortaya çıkarır.
Nasıl düzeltilir
- envoyproxy envoy1.27.6, 1.28.4, 1.29.5, 1.30.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| envoyproxy envoy | v < 1.27.6, 1.28.0 ≤ v < 1.28.4, 1.29.0 ≤ v < 1.29.5, 1.30.0 ≤ v < 1.30.2 | 1.27.6, 1.28.4, 1.29.5, 1.30.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.