An update of the envoy package has been released.

The remote SUSE Linux SUSE15 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2022:0065-1 advisory.

  - Envoy version 1.14.2, 1.13.2, 1.12.4 or earlier may consume excessive amounts of memory when proxying     HTTP/2 requests or responses with many small (i.e. 1 byte) data frames. (CVE-2020-12603)

  - Envoy version 1.14.2, 1.13.2, 1.12.4 or earlier is susceptible to increased memory usage in the case where     an HTTP/2 client requests a large payload but does not send enough window updates to consume the entire     stream and does not reset the stream. (CVE-2020-12604)

  - Envoy version 1.14.2, 1.13.2, 1.12.4 or earlier may consume excessive amounts of memory when processing     HTTP/1.1 headers with long field names or requests with long URLs. (CVE-2020-12605)

  - Envoy before 1.16.1 mishandles dropped and truncated datagrams, as demonstrated by a segmentation fault     for a UDP packet size larger than 1500. (CVE-2020-35471)

  - Envoy version 1.14.2, 1.13.2, 1.12.4 or earlier may exhaust file descriptors and/or memory when accepting     too many connections. (CVE-2020-8663)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートの SUSE Linux SUSE15 ホストには、openSUSE-SU-2022:0065-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Envoy バージョン 1.14.2、1.13.2、1.12.4 以前では、多数の小さな (つまり 1 バイト) データフレームで HTTP/2 リクエストまたは応答をプロキシする際に、過剰な量のメモリを消費する可能性があります。(CVE-2020-12603)

  - Envoy バージョン 1.14.2、1.13.2、1.12.4 またはそれ以前は、HTTP/2 クライアントが大きなペイロードをリクエストするものの、ストリーム全体を消費するのに十分なウィンドウ更新を送信せず、ストリームをリセットしない場合、メモリ使用率の増加の影響を受けます。(CVE-2020-12604)

  - Envoy バージョン 1.14.2、1.13.2、1.12.4 以前では、長いフィールド名のある HTTP/1.1 ヘッダーや長い URL のあるリクエストを処理する際に、過剰な量のメモリを消費する可能性があります。(CVE-2020-12605)

  - 1.16.1 以前の Envoy は、ドロップおよび切り捨てられたデータグラムを不適切に処理します。これは 1500 を超える UDP パケットサイズのセグメンテーション違反によって実証されています。(CVE-2020-35471)

  - Envoy バージョン 1.14.2、1.13.2、1.12.4 以前では、受け入れる接続数が多すぎると、ファイル記述子やメモリが使い果たされる可能性があります。(CVE-2020-8663)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The remote Redhat Enterprise Linux 8 host has a package installed that is affected by multiple vulnerabilities as referenced in the RHSA-2020:2864 advisory.

  - envoy: Resource exhaustion when accepting too many connections (CVE-2020-8663)

  - envoy: Resource exhaustion when proxying HTTP/2 requests or responses with small data frames     (CVE-2020-12603)

  - envoy: Resource exhaustion via HTTP/2 client requests with large payloads and improper stream windows     (CVE-2020-12604)

  - envoy: Resource exhaustion when processing HTTP/1.1 headers with long field names (CVE-2020-12605)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 8 host has a package installed that is affected by multiple vulnerabilities as referenced in the RHSA-2020:2798 advisory.

    Red Hat OpenShift Service Mesh is Red Hat's distribution of the Istio service mesh project, tailored for     installation into an on-premise OpenShift Container Platform installation.

    Security Fix(es):

    * envoy: Resource exhaustion when accepting too many connections (CVE-2020-8663)

    * envoy: Resource exhaustion when proxying HTTP/2 requests or responses with small data frames     (CVE-2020-12603)

    * envoy: Resource exhaustion when processing HTTP/1.1 headers with long field names (CVE-2020-12605)

    * envoy: Resource exhaustion via HTTP/2 client requests with large payloads and improper stream windows     (CVE-2020-12604)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートのRedhat Enterprise Linux 8ホストにインストールされているパッケージは、RHSA-2020: 2798アドバイザリに記載されている複数の脆弱性によって影響を受ける。

  - envoy: 小さなデータフレームでHTTP/2リクエストまたは応答をプロキシする際のリソース枯渇（CVE-2020-12603）

  - envoy: 大きなペイロードと不適切なストリームウィンドウを伴うHTTP / 2クライアントリクエストによるリソース枯渇（CVE-2020-12604）

  - envoy: 長いフィールド名のあるHTTP/1.1 ヘッダー処理時のリソース枯渇（CVE-2020-12605）

  - envoy: 過剰な数の接続を受け入れる際のリソース枯渇（CVE-2020-8663）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRedhat Enterprise Linux 8ホストにインストールされているパッケージは、RHSA-2020: 2864アドバイザリに記載されている複数の脆弱性によって影響を受けるパッケージがインストールされています。

  - envoy: 小さなデータフレームでHTTP/2リクエストまたは応答をプロキシする際のリソース枯渇（CVE-2020-12603）

  - envoy: 大きなペイロードと不適切なストリームウィンドウを伴うHTTP / 2クライアントリクエストによるリソース枯渇（CVE-2020-12604）

  - envoy: 長いフィールド名のあるHTTP/1.1 ヘッダー処理時のリソース枯渇（CVE-2020-12605）

  - envoy: 過剰な数の接続を受け入れる際のリソース枯渇（CVE-2020-8663）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2020: 2798 公告中提及的多個弱點影響。

  - envoy：以小資料框架代理 HTTP / 2 要求或回應時，發生資源耗盡 (CVE-2020-12603)

  - envoy：具有大型承載和不當串流視窗的 HTTP/2 用戶端要求造成資源耗盡 (CVE-2020-12604)

  - envoy：處理具有長欄位名稱的 HTTP/1.1 標頭時，發生資源耗盡 (CVE-2020-12605)

  - envoy：接受過多連線時發生資源耗盡 (CVE-2020-8663)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2020: 2864 公告中提及的多個弱點影響。

  - envoy：以小資料框架代理 HTTP / 2 要求或回應時，發生資源耗盡 (CVE-2020-12603)

  - envoy：具有大型承載和不當串流視窗的 HTTP/2 用戶端要求造成資源耗盡 (CVE-2020-12604)

  - envoy：處理具有長欄位名稱的 HTTP/1.1 標頭時，發生資源耗盡 (CVE-2020-12605)

  - envoy：接受過多連線時發生資源耗盡 (CVE-2020-8663)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 2798 公告中提及的多个漏洞的影响。

  - envoy：代理具有小数据框架的 HTTP/2 请求或响应时发生资源耗尽 (CVE-2020-12603)

  - envoy：通过具有大负载和不当流窗口的 HTTP/2 客户端请求造成的资源耗尽 (CVE-2020-12604)

  - envoy：处理具有长字段名称的 HTTP/1.1 标头时发生资源耗尽 (CVE-2020-12605)

  - envoy：接受过多连接时发生资源耗尽 (CVE-2020-8663)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 2864 公告中提及的多个漏洞的影响。

  - envoy：代理具有小数据框架的 HTTP/2 请求或响应时发生资源耗尽 (CVE-2020-12603)

  - envoy：通过具有大负载和不当流窗口的 HTTP/2 客户端请求造成的资源耗尽 (CVE-2020-12604)

  - envoy：处理具有长字段名称的 HTTP/1.1 标头时发生资源耗尽 (CVE-2020-12605)

  - envoy：接受过多连接时发生资源耗尽 (CVE-2020-8663)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
140713	Photon OS 2.0: Envoy PHSA-2020-2.0-0285	Nessus	PhotonOS Local Security Checks	2020/9/21	2024/7/22	medium
158575	openSUSE 15 Security Update : envoy-proxy (openSUSE-SU-2022:0065-1)	Nessus	SuSE Local Security Checks	2022/3/3	2023/11/6	high
158575	openSUSE 15 セキュリティ更新: envoy-proxy (openSUSE-SU-2022:0065-1)	Nessus	SuSE Local Security Checks	2022/3/3	2023/11/6	high
138185	RHEL 8 : Red Hat OpenShift Service Mesh 1.0 servicemesh-proxy (RHSA-2020:2864)	Nessus	Red Hat Local Security Checks	2020/7/7	2024/4/28	high
138030	RHEL 8 : Red Hat OpenShift Service Mesh 1.1 servicemesh-proxy (RHSA-2020:2798)	Nessus	Red Hat Local Security Checks	2020/7/1	2024/6/4	high
138030	RHEL 8 : Red Hat OpenShift Service Mesh 1.1 servicemesh-proxy（RHSA-2020: 2798)	Nessus	Red Hat Local Security Checks	2020/7/1	2024/6/4	high
138185	RHEL 8 : Red Hat OpenShift Service Mesh 1.0 servicemesh-proxy（RHSA-2020: 2864)	Nessus	Red Hat Local Security Checks	2020/7/7	2024/4/28	high
138030	RHEL 8：Red Hat OpenShift Service Mesh 1.1 servicemesh-proxy (RHSA-2020: 2798)	Nessus	Red Hat Local Security Checks	2020/7/1	2024/6/4	high
138185	RHEL 8：Red Hat OpenShift Service Mesh 1.0 servicemesh-proxy (RHSA-2020: 2864)	Nessus	Red Hat Local Security Checks	2020/7/7	2024/4/28	high
138030	RHEL 8：Red Hat OpenShift Service Mesh 1.1 servicemesh-proxy (RHSA-2020: 2798)	Nessus	Red Hat Local Security Checks	2020/7/1	2024/6/4	high
138185	RHEL 8：Red Hat OpenShift Service Mesh 1.0 servicemesh-proxy (RHSA-2020: 2864)	Nessus	Red Hat Local Security Checks	2020/7/7	2024/4/28	high

検出

プラグインの検索

medium

high

high

high

high

high

high

high

high

high

high