ISTIO-SECURITY-2025-003

CVEs reportados por Envoy.

Dec 3, 2025

Detalles de la divulgación
CVE(s)	CVE-2025-66220 CVE-2025-64527 CVE-2025-64763
Puntuación de impacto CVSS	8.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
Versiones afectadas	1.28.0 1.27.0 to 1.27.3 1.26.0 to 1.26.6

CVE

CVEs de Envoy

CVE-2025-66220: (CVSS score 8.1, High): El comparador de certificados TLS para match_typed_subject_alt_names puede tratar incorrectamente como válidos los certificados con SANs OTHERNAME que contienen un byte nulo incrustado.
CVE-2025-64527: (CVSS score 6.5, Medium): Envoy falla cuando la autenticación JWT está configurada con la obtención remota de JWKS.
CVE-2025-64763: (CVSS score 5.3, Medium): Posible contrabando de solicitudes desde datos anticipados después de la actualización CONNECT.

¿Estoy afectado?

Si estás usando Istio para aceptar tráfico WebSocket, eres potencialmente vulnerable al contrabando de solicitudes desde datos anticipados después de la actualización CONNECT. También puedes ser vulnerable si estás usando certificados personalizados con SANs OTHERNAME o autenticación JWT personalizada con obtención remota de JWKS usando EnvoyFilter.