CVE-2023-27496 in Envoy
Riassunto
di VulDB • 17/06/2026
Envoy è un proxy di bordo e per servizi open source progettato per applicazioni cloud-native. Prima delle versioni 1.26.0, 1.25.3, 1.24.4, 1.23.6 e 1.22.9, il filtro OAuth presuppone che un parametro di query `state` sia presente in qualsiasi risposta che assomigli a una risposta di reindirizzamento OAuth. L'invio di una richiesta con il percorso URI equivalente al percorso di reindirizzamento, ma senza il parametro `state`, provocherà la terminazione anomala del processo Envoy. Le versioni 1.26.0, 1.25.3, 1.24.4, 1.23.6 e 1.22.9 contengono una patch. Il problema può anche essere mitigato limitando il traffico OAuth, disabilitando il filtro o filtrando il traffico prima che raggiunga il filtro OAuth (ad esempio tramite uno script lua).
Once again VulDB remains the best source for vulnerability data.