FICHE CVE

CVE-2024-45807

Publiée le 2024-09-20 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

La version 1.31 du proxy Envoy est susceptible de planter en raison de bugs dans son codec HTTP/2 par défaut. Un attaquant distant non authentifié peut déclencher ce plantage via le réseau sans aucune interaction de l'utilisateur, entraînant ainsi un déni de service. Cette attaque est simple à exécuter car elle ne nécessite aucun privilège particulier ni authentification.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-670

Publiée2024-09-20

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéAucun

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

Envoy is a cloud-native high-performance edge/middle/service proxy. Envoy's 1.31 is using `oghttp` as the default HTTP/2 codec, and there are potential bugs around stream management in the codec. To resolve this Envoy will switch off the `oghttp2` by default. The impact of this issue is that envoy will crash. This issue has been addressed in release version 1.31.2. All users are advised to upgrade. There are no known workarounds for this issue.