CVE-2026-50285

WysokieCVSS 7.5

Opublikowano: 17/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.74%

Percentyl 53 - wyżej niż 53% wszystkich znanych CVE

Streszczenie

W Pomerium (proxy dostępu opartym na tożsamości) przed wersją 0.32.8 funkcja decodeQueryStringV2 w pkg/hpke/url.go wykonuje dekompresję zstd danych kontrolowanych przez atakującego bez limitu pamięci wyjściowej, gdy DecryptURLValues przetwarza wartości HPKE V2 dla Stateless.Callback. W wdrożeniach hostowanych lub bezstanowych nieuwierzytelniony atakujący może pobrać klucz odbiorcy z /.well-known/pomerium/hpke-public-key, podać pasujący klucz nadawcy i wysłać skompresowany ładunek do /.pomerium/callback, który rozszerza się przed odrzuceniem nadawcy. Luka jest naprawiona w wersji 0.32.8.

Ocena ryzyka

Nieuwierzytelniony atakujący może alokować setki megabajtów pamięci na żądanie, wyczerpując pamięć proxy, powodując awarię lub degradację procesu i blokując dostęp do chronionych aplikacji. Wdrożenia stanowe nie są podatne.

Rekomendacja

Zaktualizuj Pomerium do wersji 0.32.8 lub nowszej. Jeśli to niemożliwe, rozważ ograniczenie dostępu do /.pomerium/callback oraz monitorowanie zużycia pamięci proxy.

Inne podatności w Pomerium

CVE-2023-33189Krytyczne
Pomerium, jako proxy dostępu z uwzględnieniem tożsamości i kontekstu, może podejmować błędne decyzje autoryzacyjne w wyniku specjalnie skonstruowanych żądań. Problem został naprawiony w wersjach 0.17.4, 0.18.1, 0.19.2, 0.20.1, 0.21.4 oraz 0.22.2.

Oryginalny opis (angielski, źródło NVD)

Pomerium is an identity and context-aware access proxy. Prior to 0.32.8, decodeQueryStringV2 in pkg/hpke/url.go performs zstd decompression of attacker-controlled data without an output-memory limit when DecryptURLValues processes HPKE V2 values for Stateless.Callback in internal/authenticateflow/stateless.go. In hosted or stateless authentication deployments, an unauthenticated attacker can obtain the receiver key from /.well-known/pomerium/hpke-public-key, provide a matching attacker-controlled sender key, and send a compressed payload to /.pomerium/callback that expands before validateSenderPublicKey rejects the sender. This can allocate hundreds of megabytes per request, exhaust proxy memory, crash or degrade the process, and block access to applications protected by the deployment. Stateful deployments are not affected because the stateful callback verifies its HMAC signature before decryption and decompression. This issue is fixed in version 0.32.8.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS