ISTIO-SECURITY-2024-004

CVEs reportados por Envoy.

Jun 4, 2024

Detalles de la divulgación
CVE(s)	CVE-2024-32976 CVE-2024-32975 CVE-2024-32974 CVE-2024-34363 CVE-2024-34362 CVE-2024-23326 CVE-2024-34364
Puntuación de impacto CVSS	7.5 AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Versiones afectadas	All releases prior to 1.20.0 1.20.0 to 1.20.6 1.21.0 to 1.21.2 1.22.0

CVE

CVEs de Envoy

CVE-2024-23326: (CVSS Score 5.9, Moderate): Manejo incorrecto de respuestas a solicitudes de actualización HTTP/1 que puede provocar contrabando de solicitudes.
CVE-2024-32974: (CVSS Score 5.9, Moderate): Vulnerabilidad en la pila QUIC que puede provocar la terminación anormal del proceso.
CVE-2024-32975: (CVSS Score 5.9, Moderate): Vulnerabilidad en la pila QUIC que puede provocar la terminación anormal del proceso.
CVE-2024-32976: (CVSS Score 7.5, High): Vulnerabilidad en el descompresor Brotli que puede provocar un bucle infinito.
CVE-2024-34362: (CVSS Score 5.9, Moderate): Vulnerabilidad en la pila QUIC que puede provocar la terminación anormal del proceso.
CVE-2024-34363: (CVSS Score 7.5, High): Vulnerabilidad en el formateador JSON de logs de acceso de Envoy que puede provocar la terminación anormal del proceso.
CVE-2024-34364: (CVSS Score 5.7, Moderate): Consumo ilimitado de memoria en ext_proc y ext_authz.

¿Estoy afectado?

Si utilizas el formato de log de acceso JSON en Istio 1.22, estás afectado; actualiza lo antes posible. El contrabando de solicitudes también afectará a los usuarios de Websockets.