CVE-2026-73552 in Envoy
Zusammenfassung
von VulDB • 21.09.2026
Envoy ist ein Open-Source-Edge- und Service-Proxy, der für Cloud-native Anwendungen entwickelt wurde. Vor den Versionen 1.36.10, 1.37.6, 1.38.4 und 1.39.1 akzeptiert das HTTP-RBAC von Envoy RFC-gültige opaque Header-Bytes, wertet safe_regex-Werte jedoch mit der UTF-8-Semantik des Subjekts (subject semantics) von RE2 aus. Ein nachgelagerter Client kann ein verbotenes Markierungssymbol beibehalten und ein unrelated obs-text-Oktett hinzufügen, wodurch RE2::FullMatch false zurückgibt und eine negative RBAC-Richtlinie das ungültige Subjekt als normales „kein Treffer“-Ereignis behandelt. Ein byteorientierter Routen-Matcher kann die Markierung dennoch erkennen, sodass die Anfrage eine Route erreicht, die eigentlich abgelehnt werden sollte. Die relevante Scope-Grenze besteht darin, dass einfache positive ALLOW-Regexes normalerweise im Closed-Fail-Modus fehlschlagen (fail closed), und exact-, prefix-, suffix- sowie contains-Matcher zeigen keine solche Fehleranfälligkeit im Subjekt-Domänenbereich auf. Dieses Problem wurde in den Versionen 1.36.10, 1.37.6, 1.38.4 und 1.39.1 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.