CVE-2023-35942
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
W Envoy, przed wersjami 1.27.0, 1.26.4, 1.25.9, 1.24.10 i 1.23.12, logi dostępu gRPC korzystające z globalnego zakresu słuchacza mogą powodować awarię `use-after-free` podczas opróżniania słuchacza. Wersje 1.27.0, 1.26.4, 1.25.9, 1.24.10 i 1.23.12 zawierają poprawkę dla tego problemu.
Ocena ryzyka
Organizacje korzystające z podatnych wersji mogą doświadczyć awarii systemu, co może prowadzić do przerw w dostępności usług.
Rekomendacja
Zaleca się aktualizację do wersji 1.27.0, 1.26.4, 1.25.9, 1.24.10 lub 1.23.12. Alternatywnie, można wyłączyć logi dostępu gRPC lub zatrzymać aktualizację słuchacza.
Oryginalny opis (angielski, źródło NVD)
Envoy is an open source edge and service proxy designed for cloud-native applications. Prior to versions 1.27.0, 1.26.4, 1.25.9, 1.24.10, and 1.23.12, gRPC access loggers using listener's global scope can cause a `use-after-free` crash when the listener is drained. Versions 1.27.0, 1.26.4, 1.25.9, 1.24.10, and 1.23.12 have a fix for this issue. As a workaround, disable gRPC access log or stop listener update.