🇰🇷 한글 설명
Envoy 프록시의 /stats?format=html 관리자 엔드포인트에서 통계 이름에 대한 HTML 인코딩이 누락되어 발생하는 XSS 취약점입니다. 공격자가 제어 가능한 경로 세그먼트가 통계 이름에 포함될 경우, 관리자가 통계 페이지를 조회할 때 악성 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
관리자용 통계 페이지를 볼 때, 공격자가 몰래 심어놓은 악성 코드가 관리자의 브라우저에서 실행될 수 있는 보안 결함입니다. 이를 통해 공격자는 관리자의 권한을 도용하여 시스템에 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
Envoy is an open source edge and service proxy designed for cloud-native applications. Prior to 1.36.10, 1.37.6, 1.38.4, and 1.39.1, Envoy's /stats?format=html admin endpoint uses StatsHtmlRender, which sanitizes string statistic values but emits statistic names without HTML encoding. A data-plane component such as grpc_stats with stats_for_all_methods enabled can incorporate attacker-controlled path segments into cached dynamic statistic names. When an operator views the HTML stats page, the stored name can execute script with the admin interface's origin and issue privileged same-origin requests. The relevant scope boundary is that the admin interface must be browser-accessible and an enabled component must persist attacker-influenced text in statistic names. This issue is fixed in versions 1.36.10, 1.37.6, 1.38.4, and 1.39.1.
📍 영향받는 시스템
Envoy versions prior to 1.36.10, 1.37.6, 1.38.4, and 1.39.1
⚔️ 공격 벡터
공격자가 조작된 경로를 통해 통계 이름에 악성 스크립트를 삽입한 후, 관리자가 HTML 형식의 통계 페이지를 열도록 유도함
🛡️ 대응 방법
Envoy를 수정된 버전인 1.36.10, 1.37.6, 1.38.4 또는 1.39.1 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 수정된 버전 번호가 포함되어 있으면 취약점이 해결된 상태입니다.
envoy --version 2>/dev/null | grep -E 'v(1.36.10|1.37.6|1.38.4|1.39.1)'