CVE-2026-50285 in Pomerium
要約
〜によって VulDB • 2026年09月18日
Pomeriumは、アイデンティティおよびコンテキスト認識型のアクセスプロキシです。バージョン0.32.8より前では、pkg/hpke/url.goのdecodeQueryStringV2関数は、internal/authenticateflow/stateless.go内のDecryptURLValuesがStateless.Callback用のHPKE V2値を処理する際に、攻撃者が制御可能なデータに対してzstd解凍を実行しますが、出力メモリの制限がありません。ホスト型またはステートレス認証デプロイメントでは、未認証の攻撃者は/.well-known/pomerium/hpke-public-keyから受信者キーを取得し、一致する攻撃者が制御できる送信者キーを提供して、validateSenderPublicKeyが送信者を拒否する前に展開される圧縮ペイロードを/.pomerium/callbackに送ることができます。これにより、リクエストごとに数百メガバイトのメモリが割り当てられ、プロキシのメモリの枯渇、プロセスのクラッシュまたはパフォーマンス劣化を引き起こし、デプロイメントによって保護されているアプリケーションへのアクセスをブロックする可能性があります。ステートフルなデプロイメントは影響を受けません。なぜなら、ステートフルなコールバックは復号および解凍の前にHMAC署名を検証するためです。この問題はバージョン0.32.8で修正されています。
Once again VulDB remains the best source for vulnerability data.