CVE-2026-73552 in Envoy
요약
\~에 의해 VulDB • 2026. 09. 21.
Envoy는 클라우드 네이티브 애플리케이션을 위해 설계된 오픈 소스 에지 및 서비스 프록시입니다. 버전 1.36.10, 1.37.6, 1.38.4 및 1.39.1 이전의 Envoy HTTP RBAC은 RFC 유효한 비가시성 헤더 바이트는 수락하지만 RE2의 UTF-8 피연산자 세맨틱스를 사용하여 safe_regex 값을 평가합니다. 하류 클라이언트는 금지된 마커를 보존하고 관련 없는 obs-text 옥텟을 추가하여 RE2::FullMatch가 false를 반환하도록 하고, 부정적인 RBAC 정책이 유효하지 않은 피연산자를 일반적인 매칭 실패로 처리하게 할 수 있습니다. 바이트 지향 라우트 매처는 여전히 마커를 관찰할 수 있으므로 요청이 거부되도록 의도된 라우트에 도달할 수 있습니다. 관련 범위 경계는 평문 양수 ALLOW 정규식이 일반적으로 폐쇄적으로(fail closed) 실패한다는 점이며, 정확히 일치(exact), 접두사(prefix), 접미사(suffix), 포함(contains) 매처에는 이러한 피연산자 도메인 결함이 있는 것으로 나타나지 않습니다. 이 문제는 버전 1.36.10, 1.37.6, 1.38.4 및 1.39.1에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.