CVE-2026-73552 in Envoy
Résumé
par VulDB • 21/09/2026
Envoy est un proxy de bordure et de service open source conçu pour les applications cloud-native. Avant les versions 1.36.10, 1.37.6, 1.38.4 et 1.39.1, le RBAC HTTP d'Envoy accepte des octets opaques valides selon la RFC mais évalue les valeurs safe_regex avec la sémantique UTF-8 du sujet de RE2. Un client en aval peut conserver un marqueur interdit et ajouter un octet obs-text non lié, ce qui fait que RE2::FullMatch renvoie false et qu'une politique RBAC négative traite le sujet invalide comme une simple absence de correspondance. Un correspondant de route orienté octets peut toujours observer le marqueur, permettant à la requête d'atteindre une route censée être refusée. La limite de portée pertinente est que les regexes ALLOW positives simples échouent généralement en mode fermé (fail closed), et qu'il n'est pas démontré que les correspondants exacts, prefixe, suffixe et contient présentent cette défaillance dans le domaine du sujet. Ce problème est corrigé dans les versions 1.36.10, 1.37.6, 1.38.4 et 1.39.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.