CVE-2026-73547
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
Envoy w wersjach przed 1.36.10, 1.37.6, 1.38.4 i 1.39.1 — filtr ext_authz zakłada, że żądanie zawiera pseudoheader :path podczas stosowania query_parameters_to_set lub query_parameters_to_remove z odpowiedzi autoryzacyjnej. Żądanie CONNECT bez ścieżki powoduje, że request_headers_->Path() zwraca null, a Filter::onComplete dereferencjonuje ten wskaźnik podczas parsowania ciągu zapytania. Nieuwierzytelniony klient niższego szczebla może spowodować awarię procesu Envoy, gdy filtr i odpowiedź autoryzacyjna używają modyfikacji parametrów zapytania. Luka została naprawiona w wersjach 1.36.10, 1.37.6, 1.38.4 i 1.39.1.
Ocena ryzyka
Nieuwierzytelniony atakujący może zdalnie wywołać awarię procesu Envoy, powodując odmowę usługi. Może to zakłócić działanie aplikacji i usług zależnych od proxy.
Rekomendacja
Zaktualizuj Envoy do wersji 1.36.10, 1.37.6, 1.38.4 lub 1.39.1 (lub nowszej). Rozważ ograniczenie akceptowania żądań CONNECT bez ścieżki oraz przegląd konfiguracji ext_authz pod kątem modyfikacji parametrów zapytania.
Inne podatności w Envoy
Zobacz wszystkie- CVE-2026-73553Wysokie
Envoy, otwartoźródłowy proxy brzegowe i usługowe, przed wersjami 1.36.10, 1.37.6, 1.38.4 i 1.39.1, ma podatność polegającą na niespójnej kanonizacji ścieżek. Gdy włączona jest opcja ignore_path_parameters_in_path_matching, router usuwa przyrostek średnika przed dopasowaniem, ale matcher RBAC url_path ocenia surową ścieżkę. Żądanie takie jak /admin;x może ominąć regułę DENY dla /admin, podczas gdy router nadal wybiera chronione backendy /admin.
- CVE-2026-73551Średnie
W Envoy przed wersjami 1.36.10, 1.37.6, 1.38.4 i 1.39.1 normalizacja URL nie rozpoznaje segmentów ścieżki kropki i podwójnej kropki, gdy niosą parametry średnika. Żądanie takie jak /user/..;foo=bar/admin nie jest kanonizowane do /admin nawet przy włączonej normalizacji ścieżki. Jeśli upstream interpretuje segment zgodnie z RFC 3986, a Envoy stosuje routing lub RBAC do nieskróconej ścieżki, zdalny klient może wywołać zamieszanie ścieżek i obejść politykę bezpieczeństwa opartą na ścieżce.
- CVE-2026-73511Średnie
W Envoy przed wersjami 1.36.10, 1.37.6, 1.38.4 i 1.39.1 Envoy normalnie dopasowuje surową ścieżkę żądania, podczas gdy backendy servletowe, takie jak Apache Tomcat, usuwają parametry macierzy średnika z każdego segmentu ścieżki przed rozwiązaniem zasobu. Opcja ignore_path_parameters_in_path_matching zamiast tego obcina na pierwszym średniku i nadal nie dopasowuje zachowania backendu per-segment. Zdalny klient może użyć parametryzowanego chronionego segmentu, aby Envoy wybrał niechroniony fallback, podczas gdy backend rozwiązuje chroniony zasób.
- CVE-2026-73552Wysokie
Envoy w wersjach przed 1.36.10, 1.37.6, 1.38.4 i 1.39.1 — mechanizm HTTP RBAC akceptuje poprawne pod względem RFC nieprzezroczyste bajty nagłówka, ale ocenia wartości safe_regex z semantyką podmiotu UTF-8 w RE2. Klient niższego szczebla może zachować zabroniony znacznik i dodać niepowiązany oktet obs-text, powodując, że RE2::FullMatch zwraca false, a polityka negatywna RBAC traktuje nieprawidłowy podmiot jako zwykły brak dopasowania. Dopasowywacz tras zorientowany na bajty może nadal zaobserwować znacznik, co pozwala żądaniu dotrzeć do trasy, która powinna być zablokowana. Luka została naprawiona w wersjach 1.36.10, 1.37.6, 1.38.4 i 1.39.1.
- CVE-2026-73550Wysokie
Envoy w wersjach przed 1.36.10, 1.37.6, 1.38.4 i 1.39.1 kopiuje każdą zdekodowaną wartość nagłówka Host HTTP/2 przed jej odrzuceniem, gdy :authority jest już obecne. Odrzucona wartość omija saveHeader, więc jej bajty i liczba nie są wliczane do limitów nagłówków żądania. Nieuwierzytelniony klient może użyć indeksowania HPACK, aby przesłać wiele odwołań do dużej wartości Host w ograniczonej liczbie strumieni, wymuszając ekstremalną alokację kopii nagłówków i doprowadzając do zabicia proxy przez OOM. Luka została naprawiona w wersjach 1.36.10, 1.37.6, 1.38.4 i 1.39.1.
- CVE-2026-73549Średnie
Envoy przed wersjami 1.36.10, 1.37.6, 1.38.4 i 1.39.1 ma podatność w ścieżkach Utility::copyInternetAddressAndPort oraz QUIC client-address, które rekonstruują adresy IPv6 ze scopem. Ciąg zawiera identyfikator zakresu (percent scope), którego inet_pton nie może sparsować, co powoduje wyjątek lub przerwanie działania. Wdrożenia transparent-proxy z ORIGINAL_DST oraz dotknięte ścieżki QUIC mogą zakończyć proces. Problem naprawiono w wersjach 1.36.10, 1.37.6, 1.38.4 i 1.39.1.
- CVE-2026-73548Wysokie
Envoy w wersjach przed 1.36.10, 1.37.6, 1.38.4 i 1.39.1 przekazuje dane dla skonfigurowanej aktualizacji HTTP innej niż WebSocket, zanim serwer nadrzędny zaakceptuje aktualizację. Nieuwierzytelniony klient HTTP/2 może umieścić kompletne żądanie HTTP/1.1 w danych rozszerzonego CONNECT; Envoy degraduje żądanie, zapisuje dane bez ramkowania do utrzymującego połączenie serwera nadrzędnego HTTP/1.1 i zwraca gniazdo do współdzielonej puli, podczas gdy przemycona odpowiedź pozostaje w kolejce. Inny klient niższego szczebla może następnie otrzymać odpowiedź atakującego. Luka została naprawiona w wersjach 1.36.10, 1.37.6, 1.38.4 i 1.39.1.
- CVE-2026-73546Wysokie
Envoy w wersjach przed 1.36.10, 1.37.6, 1.38.4 i 1.39.1 — punkt końcowy administracyjny /stats?format=html używa StatsHtmlRender, który sanityzuje wartości statystyk tekstowych, ale emituje nazwy statystyk bez kodowania HTML. Komponent płaszczyzny danych, taki jak grpc_stats z włączonym stats_for_all_methods, może włączyć kontrolowane przez atakującego segmenty ścieżki do buforowanych dynamicznych nazw statystyk. Gdy operator wyświetla stronę statystyk HTML, zapisana nazwa może wykonać skrypt w kontekście interfejsu administracyjnego i wysłać uprzywilejowane żądania tego samego pochodzenia. Luka została naprawiona w wersjach 1.36.10, 1.37.6, 1.38.4 i 1.39.1.
- CVE-2026-73513Wysokie
Envoy w wersjach przed 1.36.10, 1.37.6, 1.38.4 i 1.39.1 — opcjonalny kodek HTTP/2 dla serwera nadrzędnego oghttp2 akceptuje ramkę nagłówków traylera odpowiedzi HEADERS bez END_STREAM. Envoy kończy i odracza usunięcie ActiveRequest, podczas gdy oghttp2 utrzymuje strumień otwarty, pozostawiając ClientStreamImpl z wiszącym odwołaniem response_decoder_. Późniejsza ramka w strumieniu może wywołać zwolniony obiekt i spowodować awarię procesu. Luka została naprawiona w wersjach 1.36.10, 1.37.6, 1.38.4 i 1.39.1.
- CVE-2026-73512Wysokie
Envoy w wersjach przed 1.36.10, 1.37.6, 1.38.4 i 1.39.1 — HttpDatagramHandler buforuje bieżący RequestDecoder, gdy włączony jest Capsule Protocol. Odtworzenie strumienia, w tym przekierowanie wewnętrzne, zastępuje ActiveStream i aktualizuje EnvoyQuicServerStream, ale nie aktualizuje buforowanego wskaźnika handlera. Kolejny datagram HTTP/3 może wywołać decodeData przez zwolniony dekoder, powodując nieprawidłowe wywołanie wirtualne i awarię procesu. Luka została naprawiona w wersjach 1.36.10, 1.37.6, 1.38.4 i 1.39.1.
Oryginalny opis (angielski, źródło NVD)
Envoy is an open source edge and service proxy designed for cloud-native applications. Prior to 1.36.10, 1.37.6, 1.38.4, and 1.39.1, Envoy's ext_authz filter assumes that a request contains a :path pseudoheader when applying query_parameters_to_set or query_parameters_to_remove from an authorization response. A path-less CONNECT request makes request_headers_->Path() return null, and Filter::onComplete dereferences that pointer while parsing the query string. An unauthenticated downstream client can crash the Envoy process when the filter and authorization response use query-parameter mutation. The relevant scope boundary is that the deployment must accept path-less CONNECT and configure ext_authz query-parameter mutation. This issue is fixed in versions 1.36.10, 1.37.6, 1.38.4, and 1.39.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS