BDU:2023-02000 (CVE-2023-27493)

Уязвимость реализации протокола mTLS (mutual TLS) прокси-сервера Envoy, позволяющая нарушителю отправить скрытый HTTP-запрос (атака типа HTTP Request Smuggling)

Опубликовано: 2023-04-12

Описание

Уязвимость реализации протокола mTLS (mutual TLS) прокси-сервера Envoy связана с недостаточной проверкой входных данных при обработке HTTP-заголовков. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, отправить скрытый HTTP-запрос (атака типа HTTP Request Smuggling)

Затрагиваемое ПО и версии

Openshift Service Mesh (2.1.0)Openshift Service Mesh (2.3.0)Envoy (до 1.22.9)Envoy (от 1.23.0 до 1.23.6)Envoy (от 1.24.0 до 1.24.4)Envoy (от 1.25.0 до 1.25.3)Openshift Service Mesh (2.2.0)

Способ устранения

Использование рекомендаций:
Для Envoy:
https://github.com/envoyproxy/envoy/releases

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2023-27493

Оценка CVSS

Балл	9.4 — высокая опасность

Источники и патчи

https://www.cybersecurity-help.cz/vdb/SB2023040516 https://access.redhat.com/security/cve/cve-2023-27493 https://github.com/envoyproxy/envoy/security/advisories/GHSA-w5w5-487h-qv8q https://bugzilla.redhat.com/show_bug.cgi?id=2182158 https://vuldb.com/ru/?id.224965

Проверьте безопасность своего сайта и почты → Полная проверка домена