ISTIO-SECURITY-2026-005

CVE

CVEs de Envoy

• GHSA-p7c7-7c47-pwch: (CVSS score 7.5): Se corrigió una vulnerabilidad de denegación de servicio en la pila HTTP/3 mediante decodificación QPACK bloqueada. Cuando un bloque de cabeceras QPACK quedaba bloqueado esperando actualizaciones de la tabla dinámica, los bytes del payload HEADERS se liberaban de la contabilización del control de flujo de recepción QUIC mientras aún se retenían en un buffer del heap interno del decodificador, lo que permitía a un atacante remoto provocar un crecimiento ilimitado de memoria y desencadenar una condición de falta de memoria.
• CVE-2026-47692: (CVSS score 4.8): Se corrigió un error donde los TLVs de passthrough combinados con TLVs añadidos podían superar la longitud máxima, resultando en una discrepancia entre el tamaño reportado en la cabecera y el número de bytes escritos. Esto podía permitir contrabando de solicitudes desde el host que escribe la cabecera del protocolo PROXY hacia el host upstream.
• CVE-2026-47207: (CVSS score 6.5): Se corrigió un error donde el servidor ext_proc enviaba ProcessingResponses inesperados a Envoy.
• CVE-2026-47205: (CVSS score 5.9): Se corrigió un crash por use-after-free en el filtro ext_authz cuando hay anulaciones de servicio por ruta activas y la conexión downstream se reinicia durante una verificación de autorización en vuelo.
• CVE-2026-47220: (CVSS score 7.5): Se corrigió un crash en el formateador %REQUESTED_SERVER_NAME% donde el host o el host original no estaba configurado correctamente pero el formateador estaba configurado para acceder al valor del host.
• CVE-2026-47221: (CVSS score 5.9): Se corrigió un problema al manejar redirecciones internas HTTP 303 para solicitudes sin cuerpo. El código de manejo de redirecciones intentaba vaciar un buffer de cuerpo de solicitud que nunca se había asignado, causando un fallo de segmentación.
• CVE-2026-48044: (CVSS score 7.5): Se corrigió una vulnerabilidad de agotamiento de memoria en el descompresor Zstd donde el límite MaxInflateRatio solo se verificaba después de que cada fragmento de entrada se procesaba completamente, permitiendo que un payload comprimido malicioso se expandiera a cientos de MB en una sola llamada a process(). El límite de la ratio de inflado ahora se aplica dentro del bucle interno de descompresión, igualando el comportamiento de los descompresores gzip y brotli y abortando la descompresión tan pronto como se supera el umbral.
• CVE-2026-48090: (CVSS score 5.9): Se corrigió un error donde el callback asíncrono de cambio de token podía activarse después de que el filtro había sido destruido (se había llamado a onDestroy()), lo que podía llevar a acceder a punteros colgantes y resultar en UAF/crash.
• CVE-2026-47778: (CVSS score 4.4): Se corrigió un problema donde Envoy podía fallar al validar el Subject Alternative Name (SAN) de un certificado de peer si el SAN contenía un byte NUL embebido. Anteriormente, el análisis del SAN era vulnerable a la truncación por bytes NUL en algunas configuraciones, pudiendo llevar a decisiones de confianza incorrectas.
• CVE-2026-47204: (CVSS score 6.5): Se corrigió un crash o use-after-free cuando el filtro de estadísticas gRPC realizaba seguimiento de estadísticas en una ruta de respuesta directa.
• CVE-2026-48497: (CVSS score 5.9): Se corrigió la verificación de sanidad de la longitud del nombre de consulta para evitar la terminación anormal del proceso. Se usa ENVOY_BUG en caso de que falle la verificación de sanidad.
• CVE-2026-48706: (CVSS score 5.9): Se corrigió un desbordamiento de buffer en TcpStatsdSink con nombres de estadísticas muy largos.
• CVE-2026-48743: (CVSS score 7.5): Se corrigió la validación del content-length de solicitudes y respuestas HTTP/3 solo con cabeceras y se reinicia el stream si es inconsistente. El cambio está controlado por el runtime guard envoy.reloadable_features.quic_validate_headers_only_content_length.
• CVE-2026-47775: (CVSS score 6.8): Se corrigió un padding oracle en el descifrado de cookies AES-256-CBC del filtro OAuth2. El filtro ahora admite cifrado AES-256-GCM con un marcador de algoritmo gcm., que autentica el texto cifrado y elimina el oracle.
• CVE-2026-48042: (CVSS score 7.5): Se limitó la profundidad de anidamiento JSON a 1000. El límite puede relajarse a 10K configurando envoy.reloadable_features.limit_json_parser_nesting_depth a false.