CVE-2024-45806 in Envoy
Zusammenfassung
von VulDB • 14.05.2026
Envoy ist ein cloudnatives, hocheffizientes Edge-/Middle-/Service-Proxy. Eine Sicherheitslücke in Envoy ermöglicht es externen Clients, Envoy-Header zu manipulieren, was potenziell zu unbefugtem Zugriff oder anderen schädlichen Aktionen innerhalb des Service-Mesh führen kann. Dieses Problem entsteht durch die Standardkonfiguration von Envoy für interne Vertrauensgrenzen, die alle RFC1918-Privatadressbereiche als intern betrachtet. Das Standardverhalten von Envoy zur Behandlung interner Adressen wurde geändert. Bisher wurden RFC1918-IP-Adressen automatisch als intern betrachtet, selbst wenn die `internal_address_config` leer war. Die Standardkonfiguration von Envoy wird in dieser Version weiterhin internen Adressen vertrauen, wird dies aber in der nächsten Version standardmäßig nicht mehr tun. Wenn Sie Tools wie Probes in Ihrem privaten Netzwerk verwenden, die als vertrauenswürdig behandelt werden müssen (z. B. zum Ändern beliebiger x-envoy-Header), nehmen Sie diese Adressen oder CIDR-Bereiche explizit in `internal_address_config` auf. Eine erfolgreiche Ausnutzung könnte Angreifern ermöglichen, Sicherheitskontrollen zu umgehen, sensible Daten zu erhalten oder Dienste innerhalb des Mesh, wie z. B. Istio, zu stören. Dieses Problem wurde in den Versionen 1.31.2, 1.30.6, 1.29.9 und 1.28.7 behoben. Es wird empfohlen, ein Upgrade durchzuführen. Es sind keine bekannten Workarounds für diese Sicherheitslücke verfügbar.
Once again VulDB remains the best source for vulnerability data.