CVE-2022-21654: envoyproxy envoy

csirt@kutim:~/threat-intel/cve/CVE-2022-21654

CVSS 9.8 · Critical EPSS 1,1%

Kerentanan Improper Certificate Validation pada envoyproxy envoy. Skor CVSS 3.1 9.8 (Critical) menurut NVD.

Deskripsi (NVD)

Envoy is an open source edge and service proxy, designed for cloud-native applications. Envoy's tls allows re-use when some cert validation settings have changed from their default configuration. The only workaround for this issue is to ensure that default tls settings are used. Users are advised to upgrade.

Rincian

Terbit di NVD: 22 Februari 2022
Terakhir diubah: 17 Juni 2026
Status NVD: Modified
CVSS 3.1: 9.8 (Critical), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-295: Improper Certificate Validation
EPSS (30 hari): 1,1% peluang dieksploitasi; lebih tinggi dari 64,1% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
envoyproxy	envoy	Versi 1.7.0 hingga sebelum 1.18.6
envoyproxy	envoy	Versi 1.19.0 hingga sebelum 1.19.3
envoyproxy	envoy	Versi 1.20.0 hingga sebelum 1.20.2
envoyproxy	envoy	Versi 1.21.0 hingga sebelum 1.21.1

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://github.com/envoyproxy/envoy/commit/e9f936d85dc1edc34fabd0a1725ec180f2316353 patch · advisory pihak ketiga
https://github.com/envoyproxy/envoy/security/advisories/GHSA-5j4x-g36v-m283 issue tracking · advisory pihak ketiga

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:10 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.