🇰🇷 한글 설명
Envoy 프록시의 특정 경로에서 IPv6 주소를 재구성할 때 퍼센트(%) 기호가 포함된 스코프 식별자를 처리하지 못해 예외가 발생하거나 프로세스가 중단되는 취약점입니다. 이 문제는 ORIGINAL_DST 투명 프록시 배포 환경이나 QUIC 연결 경로에서 발생할 수 있습니다.
💡 쉬운 설명
특수한 형태의 IPv6 주소가 들어오면 Envoy 프로그램이 이를 해석하지 못하고 갑자기 종료되어 버리는 문제입니다. 이로 인해 서비스가 중단되는 상황이 발생할 수 있습니다.
🇺🇸 원문 (English)
Envoy is an open source edge and service proxy designed for cloud-native applications. Prior to 1.36.10, 1.37.6, 1.38.4, and 1.39.1, Envoy's Utility::copyInternetAddressAndPort and QUIC client-address paths reconstruct scoped IPv6 addresses through addressAsString and Ipv6Instance. The string includes a percent scope identifier that inet_pton cannot parse, causing an exception or abort. Kernel-provided scoped IPv6 destinations in ORIGINAL_DST transparent-proxy deployments, and affected QUIC connection paths, can therefore terminate the process. The relevant scope boundary is that the HTTP use_http_header override rejects scoped addresses earlier; the advisory's crash path requires a kernel-provided original destination or the affected QUIC path. This issue is fixed in versions 1.36.10, 1.37.6, 1.38.4, and 1.39.1.
📍 영향받는 시스템
Envoy 1.36.10, 1.37.6, 1.38.4, 1.39.1 미만 버전
⚔️ 공격 벡터
특수하게 구성된 스코프 식별자가 포함된 IPv6 주소를 전송하여 프로세스 강제 종료 유도
🛡️ 대응 방법
Envoy를 수정된 버전(1.36.10, 1.37.6, 1.38.4, 1.39.1 이상)으로 업데이트
🔧 검증 코드
출력된 Envoy 버전을 확인하여 취약점이 해결된 버전(1.36.10, 1.37.6, 1.38.4, 1.39.1 이상)인지 확인합니다.
envoy --version 2>/dev/null || dpkg -l | grep envoy