From CVE record to external exposure
Envoy is a cloud-native edge/middle/service proxy. Envoy does not decode escaped slash sequences `%2F` and `%5C` in HTTP URL paths in versions 1.18.2 and before. A remote attacker may craft a path with escaped slashes, e.g. `/something%2F..%2Fadmin`, to bypass access control, e.g. a block on `/admin`. A backend server could then decode slash sequences and normalize path and provide an attacker access beyond the scope provided for by the access control policy. ### Impact Escalation of Privileges when using RBAC or JWT filters with enforcement based on URL path. Users with back end servers that interpret `%2F` and `/` and `%5C` and `\` interchangeably are impacted. ### Attack Vector URL paths containing escaped slash characters delivered by untrusted client. Patches in versions 1.18.3, 1.17.3, 1.16.4, 1.15.5 contain new path normalization option to decode escaped slash characters. As a ...
Envoy vulnerability doit être priorisée en reliant le fournisseur et le produit affectés à des actifs réellement exposés sur Internet. ThreatPort se concentre sur la première question des responsables IT et CISOs au budget limité : que voit un observateur externe aujourd’hui, quel est le niveau de gravité, et que faut-il corriger en premier ?
Historique d'exploitation connue
- Usage connu par des rançongiciels
- Non renseigné
- Probabilité d'exploitation EPSS
- 68.38% (99p)
- Score de base CVSS
- 8.1 (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H)
- Divulgué
- 2021-05-28
- Type de faiblesse
- CWE-22
Source : catalogue CISA Known Exploited Vulnerabilities et EPSS de FIRST.org.
Ce que ThreatPort vérifie
Le résultat est volontairement pratique : indices de propriété, contexte de risque, pistes de remédiation et preuves répétables partageables avec les équipes techniques ou la direction. Ce n’est pas présenté comme une automatisation magique de conformité ni comme un substitut au jugement humain en sécurité.
Pour cette route, ThreatPort traite l’intention de recherche comme un contexte opérationnel précis plutôt qu’une page générique. Catégorie, audience, technologie, secteur et région sont combinés afin que le visiteur juge rapidement si le scan correspond à son environnement.
Profil de preuves propre à cette route
CVE-2021-29492 affects Envoyproxy Envoy, a CWE-22 weakness. Disclosed 2021-05-28. This page exists to answer one question: is anything you own externally reachable and running it.
Actifs que cette page doit prioriser
Signaux à prioriser
Que faut-il examiner en premier dans ce contexte ?
Pour les équipes qui utilisent Envoyproxy Envoy, la première étape est de valider les actifs accessibles publiquement et réellement liés au métier, plutôt que de produire une liste générique de vulnérabilités.
Liste d’actions
- Confirmez si Envoy est présent sur un domaine, sous-domaine, API ou panneau public.
- Priorisez l’exposition HIGH seulement si le service affecté est joignable ou critique métier.
- Patchez, désactivez, isolez ou placez des contrôles compensatoires devant le service affecté.
- Relancez un scan après correction pour capturer une preuve avant/après.
Prochaines corrections selon le contexte
- Vérifier la propriété des actifs exposés
- Fermer les services publics inutiles
- Nettoyer les enregistrements DNS
- Réduire les règles d’accès
- Relancer le scan des constats fiables
Les preuves utiles dans ce contexte se rattachent généralement à ISO 27001, SOC 2, vendor security reviews. ThreatPort reste prudent : il s’agit de preuves opérationnelles de sécurité, pas d’une certification juridique ni d’une garantie d’acceptation par un auditeur.