CVE-2025-46821
Açıklama
Envoy, bulut tabanlı bir edge/middle/service proxy'dir. 1.34.1, 1.33.3, 1.32.6 ve 1.31.8 versiyonlarından önce, Envoy'un URI şablon eşleştiricisi, URI yolundaki geçerli karakterler kümesinden `*` karakterini hatalı bir şekilde hariç tutmaktadır. Sonuç olarak, `*` karakteri içeren URI yolları, URI şablon ifadeleriyle eşleşmeyecektir. Bu durum, `uri_template` izinleri kullanılarak yapılandırıldığında RBAC kurallarının atlatılmasına neden olabilir. Bu güvenlik açığı Envoy v1.34.1, v1.33.3, v1.32.6, v1.31.8 versiyonlarında giderilmiştir. Geçici çözüm olarak, `safe_regex` ifadesi ile `url_path` kullanarak ek RBAC izinleri yapılandırın.
Nasıl düzeltilir
- envoyproxy envoy1.31.8, 1.32.6, 1.33.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| envoyproxy envoy | v < 1.31.8, 1.32.0 ≤ v < 1.32.6, 1.33.0 ≤ v < 1.33.3, 1.34.0 | 1.31.8, 1.32.6, 1.33.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.