EnvoyProxy Envoy Missing HTTP URL path normalization

緊急 10.0CVE-2019-9901 · GHSA-2wmf-p7f8-w42h · GHSA-xcx5-93pw-jw2w · 25/04/2019 公開 · 17/06/2026 更新

要点

CVE-2019-9901 は github.com/envoyproxy/envoy, envoy (envoyproxy) に影響する深刻度「緊急」 (CVSS 10.0) の脆弱性です。
今後30日間に悪用される確率（EPSS）：5.0%（全脆弱性の 92.2% より高い）。
対処：1.9.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
github.com/envoyproxy/envoy Go	`< 1.9.1`	`1.9.1`
envoy envoyproxy	`≤ 1.9.0`	修正版なし

概要

Envoy 1.9.0 and before does not normalize HTTP URL paths. A remote attacker may craft a relative path, e.g., something/../admin, to bypass access control, e.g., a block on /admin. A backend server could then interpret the non-normalized path and provide an attacker access beyond the scope provided for by the access control policy.

NVD の説明

Envoy 1.9.0 and before does not normalize HTTP URL paths. A remote attacker may craft a relative path, e.g., something/../admin, to bypass access control, e.g., a block on /admin. A backend server could then interpret the non-normalized path and provide an attacker access beyond the scope provided for by the access control policy.