CVE-2024-45806 in Envoy
要約
〜によって VulDB • 2026年05月11日
Envoyは、クラウドネイティブな高性能なエッジ/ミドル/サービスプロキシです。Envoyにはセキュリティ脆弱性があり、外部クライアントがEnvoyのヘッダーを操作できる可能性があります。これにより、メッシュ内での不正アクセスやその他の悪意のある行為につながる可能性があります。この問題は、Envoyのデフォルト設定において内部信頼境界がRFC1918のプライベートアドレス範囲をすべて内部として扱うことに起因します。Envoyにおける内部アドレスの処理に関するデフォルトの動作が変更されました。以前は、`internal_address_config`が空であっても、RFC1918のIPアドレスは自動的に内部として扱われていました。今回のリリースでは、Envoyのデフォルト設定は引き続き内部アドレスを信頼しますが、次のリリースではデフォルトで信頼しなくなります。プライベートネットワーク上にプローブなどのツールがあり、それらを信頼済みとして扱う必要がある場合（例えば、任意のx-envoyヘッダーを変更する場合など）、そのアドレスまたはCIDR範囲を`internal_address_config`に明示的に含めてください。この脆弱性を悪用されると、攻撃者はセキュリティ制御を回避したり、機密データにアクセスしたり、Istioのようなメッシュ内のサービスを妨害したりできる可能性があります。この問題はバージョン1.31.2、1.30.6、1.29.9、および1.28.7で修正されています。ユーザーはアップグレードすることをお勧めします。この脆弱性に対する既知の回避策はありません。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.