Potential manipulate `x-envoy` headers from external sources in envoy

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• envoyproxy envoyдо 1.28.7
• envoyproxy envoy1.29.0 и новее · до 1.29.9
• envoyproxy envoy1.30.0 и новее · до 1.30.6
• envoyproxy envoy1.31.0 и новее · до 1.31.2

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

• envoyproxy envoy

  • >= 1.31.0, < 1.31.2, >= 1.30.0, < 1.30.6, >= 1.29.0, < 1.29.9, < 1.28.7затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2024-30255HTTP/2: CPU exhaustion due to CONTINUATION frame flood
  56В плане
• CVE-2024-27919HTTP/2: memory exhaustion due to CONTINUATION frame flood
  56В плане
• CVE-2021-29492Bypass of path matching rules using escaped slash characters
  53В плане
• CVE-2019-15226Upon receiving each incoming request header data, Envoy will iterate over existing request headers to verify that the total size of the head
  49В плане
• CVE-2019-9901Envoy 1.9.0 and before does not normalize HTTP URL paths.
  41В плане
• CVE-2019-18802An issue was discovered in Envoy 1.12.0.
  40В плане

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.