CVE-2026-50285 in Pomerium
요약
\~에 의해 VulDB • 2026. 09. 18.
Pomerium은 신원 및 컨텍스트 인식 접근 프록시입니다. 버전 0.32.8 이전의 `pkg/hpke/url.go`에 있는 `decodeQueryStringV2`는 `internal/authenticateflow/stateless.go`의 Stateless.Callback에서 HPKE V2 값을 처리할 때 공격자가 제어하는 데이터에 대해 출력 메모리 제한 없이 zstd 압축 해제를 수행합니다. 호스팅 또는 상태 비저장(stateless) 인증 배포 환경에서는 인증되지 않은 공격자가 `/.well-known/pomerium/hpke-public-key`에서 수신자 키를 획득하고, 일치하는 공격자 제어 송신자 키를 제공하여 `/.pomerium/callback`로 압축된 페이로드를 전송할 수 있습니다. 이 페이로드는 `validateSenderPublicKey`가 송신자를 거부하기 전에 확장됩니다. 이로 인해 요청당 수백 메가바이트의 메모리가 할당되어 프록시 메모리를 고갈시키고 프로세스를 충돌시키거나 성능을 저하시키며, 배포 환경으로 보호되는 애플리케이션에 대한 접근을 차단할 수 있습니다. 상태 저장(stateful) 배포는 상태저장 콜백이 복호화 및 압축 해제 전에 HMAC 서명을 검증하므로 영향을 받지 않습니다. 이 문제는 버전 0.32.8에서 해결되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.