CVE-2026-53718
Açıklama
Envoy Gateway, Envoy Proxy'yi bağımsız veya Kubernetes tabanlı bir uygulama ağ geçidi olarak yönetmek için kullanılan açık kaynaklı bir projedir. 1.7.4 ve 1.8.1 sürümlerinden önce, bir HTTPRoute, hedef ad alanında eşleşen bir Gateway API ReferenceGrant olmadan başka bir ad alanındaki arka uç kaynağına referans vermek için uzantı tarafından yönetilen özel bir backendRef kullanabilir. internal/gatewayapi/route.go dosyasındaki custom-backend dalı validateBackendNamespace işlemini atlayarak, rota sahibi ad alanının, arka uç ad alanı sahibinin onayı olmadan kaynağa bağlanmasına ve onu kullanmasına izin verir; bu durum Gateway API çapraz ad alanı yetkilendirme modelini ihlal eder. Bu sorun 1.7.4 ve 1.8.1 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- github.com/envoyproxy/gateway1.8.1, 1.7.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/envoyproxy/gatewayGo | 1.8.0-rc.0 ≤ v < 1.8.1, v < 1.7.4 | 1.8.1, 1.7.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.