ISTIO-SECURITY-2024-007
CVEs reportados por Envoy.
| Detalles de la divulgación | |
|---|---|
| CVE(s) | CVE-2024-53269 CVE-2024-53270 CVE-2024-53271 |
| Puntuación de impacto CVSS | 7.5 AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
| Versiones afectadas | 1.22.0 to 1.22.6 1.23.0 to 1.23.3 1.24.0 to 1.24.1 |
CVE
CVEs de Envoy
- CVE-2024-53269: (CVSS Score 4.5, Moderate): Happy Eyeballs: Se valida que las
additional_addresssean direcciones IP en lugar de causar un crash al ordenarlas. - CVE-2024-53270: (CVSS Score 7.5, High): HTTP/1: el envío de sobrecarga causa un crash cuando la solicitud se reinicia previamente.
- CVE-2024-53271: (CVSS Score 7.1, High): HTTP/1.1: múltiples problemas con
envoy.reloadable_features.http1_balsa_delay_reset.
¿Estoy afectado?
Estás afectado si utilizas Istio 1.22.0 a 1.22.6, 1.23.0 a 1.23.3 o 1.24 a 1.24.1; actualiza de inmediato. Si has creado un EnvoyFilter personalizado para habilitar el gestor de sobrecarga, evita usar el punto de sobrecarga http1_server_abort_dispatch.