CVE-2026-73549 in Envoy
Resumen
por VulDB • 2026-09-21
Envoy es un proxy de borde y de servicios de código abierto diseñado para aplicaciones nativas en la nube. Antes de las versiones 1.36.10, 1.37.6, 1.38.4 y 1.39.1, los métodos `Utility::copyInternetAddressAndPort` y las rutas del cliente QUIC de Envoy reconstruían direcciones IPv6 con ámbito mediante `addressAsString` e `Ipv6Instance`. La cadena resultante incluye un identificador de ámbito (scope identifier) en formato percent (%) que `inet_pton` no puede analizar, lo que provoca una excepción o la terminación abrupta del proceso. Por tanto, los destinos IPv6 con ámbito proporcionados por el kernel en implementaciones de proxy transparente ORIGINAL_DST y las rutas QUIC afectadas pueden provocar la finalización del proceso. El límite relevante del ámbito es que la anulación `use_http_header` rechaza las direcciones con ámbito más temprano; la ruta de fallo descrita en el aviso requiere un destino original proporcionado por el kernel o la ruta QUIC afectada. Este problema se ha corregido en las versiones 1.36.10, 1.37.6, 1.38.4 y 1.39.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.