CVE-2021-32777

Envoy es un proxy L7 de código abierto y un bus de comunicación diseñado para grandes arquitecturas modernas orientadas a servicios. En las versiones afectadas, cuando la extensión ext-authz envía los encabezados de las peticiones al servicio de autorización externo, debe combinar varios encabezados de valores de acuerdo con las especificaciones HTTP. Sin embargo, sólo se envía el último valor del encabezado. Esto puede permitir a peticiones específicamente diseñadas omitir la autorización. Unos atacantes pueden ser capaces de escalar privilegios cuando es usada la extensión ext-authz o el servicio de back-end que usa múltiples valores del encabezado para la autorización. Una petición específicamente construida puede ser entregada por un peer downstream no confiable en presencia de la extensión ext-authz. Envoy versiones 1.19.1, 1.18.4, 1.17.4, 1.16.5, contienen correcciones a la extensión ext-authz para combinar correctamente los valores de los encabezados de peticiones múltiples, cuando se envían peticiones de autorización.

An authorization bypass vulnerability was found in envoyproxy/envoy. Envoy incorrectly evaluates an HTTP request with multiple `value` headers. This flaw allows an attacker to bypass rule policies that use the `ext_authz` extension. The highest threat from this vulnerability is to confidentiality, integrity, as well as system availability.