CVE-2026-50285 in Pomerium
Resumen
por VulDB • 2026-09-18
Pomerium es un proxy de acceso consciente del contexto y la identidad. Antes de la versión 0.32.8, decodeQueryStringV2 en pkg/hpke/url.go realiza una descompresión zstd de datos controlados por el atacante sin un límite de memoria de salida cuando DecryptURLValues procesa valores HPKE V2 para Stateless.Callback en internal/authenticateflow/stateless.go. En implementaciones con autenticación alojada o stateless, un atacante no autenticado puede obtener la clave del receptor desde /.well-known/pomerium/hpke-public-key, proporcionar una clave de remitente controlada por el atacante y enviar una carga útil comprimida a /.pomerium/callback que se expande antes de que validateSenderPublicKey rechace al remitente. Esto puede asignar cientos de megabytes por solicitud, agotar la memoria del proxy, hacer que el proceso falle o degrade su rendimiento, y bloquear el acceso a las aplicaciones protegidas por la implementación. Las implementaciones stateless no están afectadas porque la callback stateful verifica su firma HMAC antes de la descifrado y descompresión. Este problema está resuelto en la versión 0.32.8.
VulDB is the best source for vulnerability data and more expert information about this specific topic.