An update of the envoy package has been released.

The remote Redhat Enterprise Linux 7 / 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2019:4222 advisory.

    Red Hat OpenShift Service Mesh is Red Hat's distribution of the Istio service mesh project, tailored for     installation into an on-premise OpenShift Container Platform installation.

    This advisory covers the RPM packages for the OpenShift Service Mesh 1.0.3 release.

    Security Fix(es):

    * An untrusted remote client may send HTTP/2 requests that write to the heap outside of the request     buffers when the upstream is HTTP/1 (CVE-2019-18801)

    * Malformed request header may cause bypass of route matchers resulting in escalation of privileges or     information disclosure (CVE-2019-18802)

    * Malformed HTTP request without the Host header may cause abnormal termination of the Envoy process     (CVE-2019-18838)

    For more details about the security issue(s), including the impact, a CVSS     score, acknowledgments, and other related information, refer to the CVE page(s) listed in the References     section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Red Hat OpenShift Service Mesh 1.0.3. Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重大と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Service Meshは、オンプレミスのOpenShift Container Platformインストールへのインストール用に調整された、Red Hatが提供するIstioサービスメッシュプロジェクトです。このアドバイザリは、OpenShift Service Mesh 1.0.3リリースのRPMパッケージを対象としています。セキュリティ修正プログラム：*アップストリームがHTTP/1のとき、信頼されないリモートのクライアントがヒープに書き込むHTTP/2リクエストをリクエストバッファの外に送信する可能性があります（CVE-2019-18801）*不正な形式のリクエストヘッダーがルートマッチャーのバイパスの原因となり、権限の昇格または情報漏えいを引き起こす可能性があります（CVE-2019-18802）*ホストヘッダーのない不正な形式のHTTPリクエストがEnvoy処理の異常終了を引き起こす可能性があります（CVE-2019-18838）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

Red Hat OpenShift Service Mesh 1.0.3。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat OpenShift 服务网格是 Red Hat 的 Istio 服务网格项目发行版，专供本地 OpenShift 容器平台安装使用。本公告涵盖适用于 OpenShift Service Mesh 1.0.3 版本的 RPM 程序包。安全修复：* 当上游为 HTTP/1 时，未受信任的远程客户端可能会发送 HTTP/2 请求写入请求缓冲区以外的堆 (CVE-2019-18801) * 畸形的请求标头可能会造成绕过路由匹配程序，从而导致权限提升或信息泄露 (CVE-2019-18802) * 不带有主机标头的畸形 HTTP 请求可能会造成 Envoy 进程异常终止 (CVE-2019-18838) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Red Hat OpenShift 服務網格 1.0.3。Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat OpenShift 服務網格是 Red Hat 的 Istio 服務網格專案發行版，專供內部部署 OpenShift 容器平台安裝使用。本公告涵蓋 OpenShift 服務網格 1.0.3 版本的 RPM 套件。安全性修正：* 上游為 HTTP/1 時，非受信任的遠端用戶端可能傳送寫入要求緩衝區外堆積的 HTTP/2 要求 (CVE-2019-18801) * 格式錯誤的要求標頭可能造成繞過路由比對器，進而導致權限提升，或資訊洩漏 (CVE-2019-18802) * 無 Host 標頭的格式錯誤 HTTP 要求可能造成 Envoy 處理程序異常終止 (CVE-2019-18838) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
136105	Photon OS 1.0: Envoy PHSA-2020-1.0-0290	Nessus	PhotonOS Local Security Checks	2020/4/29	2024/3/14	medium
132031	RHEL 7 / 8 : Red Hat OpenShift Service Mesh 1.0.3 RPMs (RHSA-2019:4222)	Nessus	Red Hat Local Security Checks	2019/12/13	2024/11/7	critical
135867	Photon OS 2.0: Envoy PHSA-2020-2.0-0229	Nessus	PhotonOS Local Security Checks	2020/4/22	2024/7/22	medium
132031	RHEL 8：Red Hat OpenShift Service Mesh 1.0.3のRPM（RHSA-2019:4222）	Nessus	Red Hat Local Security Checks	2019/12/13	2024/11/7	critical
132031	RHEL 8 : Red Hat OpenShift Service Mesh 1.0.3 RPMs (RHSA-2019:4222)	Nessus	Red Hat Local Security Checks	2019/12/13	2024/11/7	critical
132031	RHEL 8：Red Hat OpenShift 服務網格 1.0.3 RPM (RHSA-2019:4222)	Nessus	Red Hat Local Security Checks	2019/12/13	2024/11/7	critical

检测

插件搜索

medium

critical

medium

critical

critical

critical