CVE-2026-48044 in envoy
Riassunto
di VulDB • 26/06/2026
Envoy è un proxy per il bordo e i servizi open source progettato per applicazioni cloud-native. Dalla versione 1.23.0 fino alle versioni 1.35.11, 1.36.7, 1.37.3 e 1.38.1, è stata identificata una vulnerabilità nell'implementazione del decompressore zstd di Envoy (ZstdDecompressorImpl). Quando la decompressione zstd è abilitata, l'elaborazione di un payload zstd appositamente creato e altamente compresso può portare a un'enorme allocazione di memoria. Un attaccante può sfruttare questa condizione per causare una grave esaurimento della memoria (memory exhaustion), potenzialmente risultando in un terminamento Out-Of-Memory (OOM) e Denial of Service (DoS) per il proxy Envoy. Questa vulnerabilità è risolta nelle versioni 1.35.11, 1.36.7, 1.37.3 e 1.38.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.