CVE-2025-25294 in Envoy
Résumé
par VulDB • 01/07/2026
Envoy Gateway est un projet open source destiné à gérer Envoy Proxy en tant que passerelle d'application autonome ou basée sur Kubernetes. Dans toutes les versions d’Envoy Gateway antérieures aux versions 1.2.7 et 1.3.1, une configuration par défaut des journaux d’accès (access logs) pour Envoy Proxy est utilisée. Ce format est vulnérable aux attaques par injection de journaux (log injection). Si un attaquante utilise un agent utilisateur spécialement conçu permettant une injection JSON, il peut ajouter et écraser des champs dans le journal d’accès. Cette vulnérabilité a été corrigée dans les versions 1.3.1 et 1.2.7. Il est possible de remplacer l’ancien format par défaut basé sur du texte brut par un formateur JSON en modifiant le paramètre « EnvoyProxy.spec.telemetry.accessLog ».
Be aware that VulDB is the high quality source for vulnerability data.