CVE-2026-26330
Açıklama
Envoy yüksek performanslı bir edge/middle/service proxy'dir. 1.37.1, 1.36.5, 1.35.8 ve 1.34.13 sürümlerinden önce, rate limit filtresinde, eğer rate limit konfigürasyonunda apply_on_stream_done ile yanıt aşaması limiti etkinse ve yanıt aşaması limit isteği doğrudan başarısız olursa, bu durum Envoy'un çökmesine neden olabilir. Hem istek aşaması limiti hem de yanıt aşaması limiti etkin olduğunda, güvenli gRPC istemci örneği hem istek aşaması isteği hem de yanıt aşaması isteği için yeniden kullanılır. Ancak istek aşaması isteği tamamlandıktan sonra, gRPC istemcisindeki istek aşaması limit isteğinin iç durumu temizlenmez. Yanıt aşamasında ikinci bir limit isteği gönderildiğinde ve bu ikinci limit isteği doğrudan başarısız olduğunda, önceki isteğin iç durumuna erişilebilir ve bu da çökmeyle sonuçlanabilir. Bu güvenlik açığı 1.37.1, 1.36.5, 1.35.8 ve 1.34.13 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- envoyproxy envoy1.34.13, 1.35.8, 1.36.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| envoyproxy envoy | v < 1.34.13, 1.35.0 ≤ v < 1.35.8, 1.36.0 ≤ v < 1.36.5, 1.37.0 | 1.34.13, 1.35.8, 1.36.5 |
| github.com/envoyproxy/envoyGo | Aralık belirtilmemiş, 1.36.0 ≤ v ≤ 1.36.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.