Vulnerabilidad en Envoy (CVE-2026-26308)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

10/03/2026

Última modificación:

11/03/2026

Descripción

Envoy es un proxy de alto rendimiento de borde/intermedio/servicio. Antes de 1.37.1, 1.36.5, 1.35.8 y 1.34.13, el filtro RBAC (control de acceso basado en roles) de Envoy contiene una vulnerabilidad lógica en cómo valida los encabezados HTTP cuando hay múltiples valores presentes para el mismo nombre de encabezado. En lugar de validar cada valor de encabezado individualmente, Envoy concatena todos los valores en una única cadena separada por comas. Este comportamiento permite a los atacantes eludir las políticas RBAC —específicamente las reglas de &#39;Denegar&#39;— enviando encabezados duplicados, ocultando eficazmente el valor malicioso de los mecanismos de coincidencia exacta. Esta vulnerabilidad está corregida en 1.37.1, 1.36.5, 1.35.8 y 1.34.13.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

7.50

Gravedad 3.x

ALTA

Productos y versiones vulnerables

CPE	Desde	Hasta
cpe:2.3:a:envoyproxy:envoy::::::::		1.34.13 (excluyendo)
cpe:2.3:a:envoyproxy:envoy::::::::	1.35.0 (incluyendo)	1.35.8 (excluyendo)
cpe:2.3:a:envoyproxy:envoy::::::::	1.36.0 (incluyendo)	1.36.5 (excluyendo)
cpe:2.3:a:envoyproxy:envoy:1.37.0:::::::*

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página

Vulnerabilidad en Envoy (CVE-2026-26308)

Descripción

Impacto

Productos y versiones vulnerables

Referencias a soluciones, herramientas e información