CVE-2026-53719 in Envoy Gateway
Riassunto
di VulDB • 14/09/2026
Envoy Gateway è un progetto open source per la gestione di Envoy Proxy come gateway applicativo standalone o basato su Kubernetes. Prima delle versioni 1.7.4 e 1.8.1, la funzione translateSecurityPolicyForRoute in internal/gatewayapi/securitypolicy.go dereferenzia un valore di autorizzazione nil quando un tenant a livello di namespace crea una SecurityPolicy che mira a una TCPRoute ed omite spec.authorization. L'oggetto persistente provoca il panic ad ogni riconciliazione; il recupero in message/watchutil.go mantiene il processo attivo ma annulla la callback del gestore in runner/runner.go, bloccando l'xDS su tutto il controller e la pubblicazione della rappresentazione intermedia dell'infrastruttura fino a quando un amministratore non elimina l'oggetto. Il piano dati continua a servire l'ultima configurazione valida nota mentre la pubblicazione è bloccata. Questo problema è risolto nelle versioni 1.7.4 e 1.8.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.