Incorrect configuration handling allows TLS session re-use without re-validation in Envoy

El proxy Envoy puede reutilizar conexiones TLS antiguas incluso después de cambiar las configuraciones de validación de certificados, permitiendo que las comunicaciones cifradas eludan verificaciones de seguridad actualizadas. Esto significa que las mejoras de seguridad que apliques podrían no proteger nuevas conexiones.

El mecanismo de reanudación de sesión TLS de Envoy no invalida las sesiones en caché cuando la configuración de validación de certificados se desvía de los valores predeterminados, permitiendo la reutilización de sesión sin revalidación del certificado del par. Esto afecta cualquier implementación con configuraciones de validación de certificado no estándar y permite posibles ataques man-in-the-middle en sesiones reanudadas.