🇰🇷 한글 설명
Envoy Gateway는 Envoy Proxy를 독립형 또는 Kubernetes 기반 애플리케이션 게이트웨이로 관리하는 오픈 소스 프로젝트입니다. 1.5.7 및 1.6.2 버전 이전에서는 Lua 스크립트를 실행하는 Envoy 프록시를 사용하여 프록시 자격증명을 유출할 수 있습니다. 이러한 자격증명은 제어 평면에 액세스하고 Envoy 프록시에서 사용하는 모든 비밀(예: TLS 개인 키 및 다운스트림 및 업스트림 통신에 사용되는 자격증명)을 얻는 데 사용할 수 있습니다.
💡 쉬운 설명
Envoy Gateway의 취약점으로 인해 프록시 자격증명을 유출할 수 있으며, 이는 모든 비밀에 대한 액세스를 허용합니다. 이 취약점은 1.5.7 및 1.6.2 버전에서 수정되었습니다. Envoy Gateway를 사용하는 경우 버전을 확인하고 업데이트해야 합니다.
🇺🇸 원문 (English)
Envoy Gateway is an open source project for managing Envoy Proxy as a standalone or Kubernetes-based application gateway. Prior to 1.5.7 and 1.6.2, EnvoyExtensionPolicy Lua scripts executed by Envoy proxy can be used to leak the proxy's credentials. These credentials can then be used to communicate with the control plane and gain access to all secrets that are used by Envoy proxy, e.g. TLS private keys and credentials used for downstream and upstream communication. This vulnerability is fixed in 1.5.7 and 1.6.2.
📍 영향받는 시스템
Envoy Gateway 1.5.7 및 1.6.2 버전 이전
⚔️ 공격 벡터
Lua 스크립트를 실행하는 Envoy 프록시를 사용하여 프록시 자격증명을 유출
🛡️ 대응 방법
Envoy Gateway를 1.5.7 또는 1.6.2 버전으로 업데이트합니다.
🔧 검증 코드
로컬 시스템에서 Python을 사용하여 Envoy 버전을 확인합니다. Python이 설치되어 있어야 하며, Envoy가 pip를 통해 설치된 경우에만 작동합니다. 코드를 실행하여 Envoy 버전을 확인하고, 버전이 1.5.7 또는 1.6.2 미만인 경우 취약합니다.
python -c "import subprocess; output = subprocess.check_output(['pip', 'show', 'envoy']); print(' Envoy 버전: ' + output.decode('utf-8'))"