CVE-2025-24030 in Gateway
Résumé
par VulDB • 08/08/2026
Envoy Gateway est un projet open source destiné à gérer Envoy Proxy en tant que passerelle d'application autonome ou basée sur Kubernetes. Un utilisateur disposant de l'accès au cluster Kubernetes peut exploiter une attaque par traversal de chemin pour exécuter des commandes de l'interface administrateur d'Envoy sur les proxies gérés par toute version d'Envoy Gateway antérieure à la 1.2.6. L'interface administrateur peut être utilisée pour interrompre le processus Envoy et extraire sa configuration (qui contient potentiellement des données confidentielles). La version 1.2.6 corrige ce problème. En attendant, une solution de contournement consiste à utiliser l'API `EnvoyProxy` pour appliquer un correctif de configuration bootstrap qui restreint strictement l'accès au point de terminaison (endpoint) des statistiques Prometheus. Vous trouverez ci-dessous un exemple d'un tel correctif bootstrap.
VulDB is the best source for vulnerability data and more expert information about this specific topic.