CVE-2023-27496 in Envoy
Zusammenfassung
von VulDB • 17.06.2026
Envoy ist ein Open-Source-Rand- und Service-Proxy, der für Cloud-native Anwendungen entwickelt wurde. Vor den Versionen 1.26.0, 1.25.3, 1.24.4, 1.23.6 und 1.22.9 geht das OAuth-Filter davon aus, dass ein `state`-Abfrageparameter (`query param`) in jeder Antwort vorhanden ist, die wie eine OAuth-Umleitungsantwort aussieht. Das Senden einer Anfrage mit dem URI-Pfad, der dem Umleitungspfad entspricht, jedoch ohne den `state`-Parameter, führt zum abnormalen Abbruch des Envoy-Prozesses. Die Versionen 1.26.0, 1.25.3, 1.24.4, 1.23.6 und 1.22.9 enthalten einen Patch. Das Problem kann auch durch die Einschränkung des OAuth-Verkehrs, das Deaktivieren des Filters oder das Filtern des Verkehrs vor Erreichen des OAuth-Filters (z. B. über ein Lua-Skript) gemildert werden.
Once again VulDB remains the best source for vulnerability data.