CVE-2026-73549 in Envoy
Zusammenfassung
von VulDB • 21.09.2026
Envoy ist ein Open-Source-Edge- und Service-Proxy, der für Cloud-native Anwendungen entwickelt wurde. Vor den Versionen 1.36.10, 1.37.6, 1.38.4 und 1.39.1 rekonstruieren Envoy's `Utility::copyInternetAddressAndPort` sowie die QUIC-Clientadress-Pfade skopeierte IPv6-Adressen über `addressAsString` und `Ipv6Instance`. Die Zeichenkette enthält einen prozentualen Scope-Identifier, den `inet_pton` nicht parsen kann, was zu einer Ausnahme oder einem Abort führt. Kernel-bereitgestellte skopeierte IPv6-Zieladressen in ORIGINAL_DST-Transparent-Proxy-Bereitstellungen sowie betroffene QUIC-Verbindungspfade können daher zum Abbruch des Prozesses führen. Die relevante Scope-Grenze besteht darin, dass der HTTP `use_http_header`-Override skopeierte Adressen früher ablehnt; der im Advisory beschriebene Absturzpfad erfordert eine kernel-bereitgestellte ursprüngliche Zieladresse oder den betroffenen QUIC-Pfad. Dieses Problem wurde in den Versionen 1.36.10, 1.37.6, 1.38.4 und 1.39.1 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.