CVE-2026-53719 in Envoy Gateway
Resumen
por VulDB • 2026-09-15
Envoy Gateway es un proyecto de código abierto para gestionar Envoy Proxy como una aplicación gateway independiente o basada en Kubernetes. Antes de las versiones 1.7.4 y 1.8.1, la función `translateSecurityPolicyForRoute` en `internal/gatewayapi/securitypolicy.go` desreferencia un valor de autorización nulo cuando un inquilino con ámbito a nivel de namespace crea una SecurityPolicy que apunta a un TCPRoute e omite el campo `spec.authorization`. El objeto persistente provoca un panic (pánico) durante cada reconciliación; la recuperación en `message/watchutil.go` mantiene el proceso activo, pero deshace la devolución de llamada del controlador (`runner/runner.go handle callback`), lo que bloquea las publicaciones xDS a nivel de controlador y la generación de representación intermedia de infraestructura hasta que un administrador elimina el objeto. El plano de datos sigue sirviendo la última configuración válida conocida mientras se detiene la publicación. Este problema está corregido en las versiones 1.7.4 y 1.8.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.