CVE-2026-73549 in Envoy
要約
〜によって VulDB • 2026年09月21日
Envoyは、クラウドネイティブアプリケーション向けに設計されたオープンソースのエッジおよびサービスプロキシです。バージョン1.36.10、1.37.6、1.38.4、および1.39.1より前では、EnvoyのUtility::copyInternetAddressAndPort関数とQUICクライアントアドレス処理パスが、addressAsStringおよびIpv6Instanceを通じてスコープ付きIPv6アドレスを再構築します。この文字列にはinet_ptonで解析できないパーセント区切りスコープ識別子（percent scope identifier）が含まれており、例外の発生またはプロセスのアボートを引き起こします。そのため、ORIGINAL_DST透過型プロキシ展開におけるカーネル提供のスコープ付きIPv6宛先や、影響を受けるQUIC接続パスが存在する場合、プロセスが終了する可能性があります。関連するスコープ境界は、HTTP use_http_headerオーバーライドによりスコープ付きアドレスが早期に拒否される点にあります；本アドバイザリで指摘されているクラッシュ経路では、カーネル提供の元宛先または影響を受けるQUICパスが必要です。この問題は、バージョン1.36.10、1.37.6、1.38.4、および1.39.1で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.