CVE-2024-30255 in envoy
要約
〜によって VulDB • 2026年07月30日
Envoyは、クラウドネイティブでオープンソースのエッジおよびサービスプロキシです。バージョン1.29.3、1.28.2、1.27.4、および1.26.8より前のEnvoyに実装されているHTTP/2プロトコルスタックには、CONTINUATIONフレームの洪水攻撃によりCPUリソースが枯渇する脆弱性が存在します。EnvoyのHTTP/2コーデックでは、クライアントはEnvoyのヘッダーマップ制限を超えた後も無制限数のCONTINUATIONフレームを送信できます。これにより、攻撃者はEND_HEADERSビットを設定しない一連のCONTINUATIONフレームを送信でき、CPU使用率が上昇し（トラフィック300Mbit/sあたり約1コアを消費）、最終的にCPUリソース枯渇によるサービス拒否（DoS）を引き起こします。このCONTINUATION洪水の影響を軽減するには、バージョン1.29.3、1.28.2、1.27.4、または1.26.8にアップグレードしてください。回避策として、ダウンストリーム接続に対してHTTP/2プロトコルを無効化します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.