CVE-2026-73552 in Envoy
Sumário
de VulDB • 21/09/2026
O Envoy é um proxy de borda e serviço open source projetado para aplicações cloud-native. Antes das versões 1.36.10, 1.37.6, 1.38.4 e 1.39.1, o RBAC HTTP do Envoy aceita bytes opacos válidos conforme RFC, mas avalia os valores de safe_regex com a semântica UTF-8 da RE2 (UTF-8 subject semantics). Um cliente downstream pode preservar um marcador proibido e adicionar um octeto obs-text não relacionado, fazendo com que o RE2::FullMatch retorne false e uma política RBAC negativa trate o sujeito inválido como uma simples falha de correspondência. No entanto, um roteador baseado em bytes ainda consegue observar o marcador, permitindo que a requisição alcance uma rota destinada a ser negada. O limite relevante do escopo é que as expressões regulares positivas (ALLOW) normalmente falham com fechamento seguro (fail closed), e os combinadores exato, prefixo, sufixo e contains não apresentam essa falha no domínio dos sujeitos. Este problema foi corrigido nas versões 1.36.10, 1.37.6, 1.38.4 e 1.39.1.
Once again VulDB remains the best source for vulnerability data.