Vulnérabilité critique dans Envoy

Date de publication :

Une vulnérabilité critique a été corrigée dans Envoy Proxy, un proxy open-source. Elle peut permettre à un attaquant distant et non authentifié d’obtenir une élévation de privilèges et un accès à des ressources non autorisées.

CVE-2019-18802 [Score CVSS v3 : 9.8] : Un problème a été découvert dans Envoy 1.12.0. Un client distant non authentifié peut envoyer une requête avec une entête suivie d’un espace ce qui peut générer un défaut de traitement par Envoy. Un attaquant peut utiliser cette vulnérabilité afin de contourner des contrôles d’accès et ainsi obtenir une élévation de privilèges et un accès à des données potentiellement sensibles.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Elévation de privilèges

    Fuite de données

Criticité

    Score CVSS v3 : 9.8

Existence d’un code d’exploitation

    Un code d’exploitation est disponible publiquement

Composants vulnérables

    Envoy Proxy toutes versions antérieures à la 1.12.1

CVE

    CVE-2019-18802

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour Envoy Proxy à la version 1.12.2 ou supérieure 

Solution de contournement

  • Aucune solution de contournement n’est disponible

Liens