CVE-2026-50285

Nome do Software Vulnerável e Versões Afetadas Pomerium versões anteriores a 0.32.8

Description O Pomerium é um proxy de acesso consciente de identidade e contexto. Em implantações de autenticação hospedadas ou stateless, o endpoint /.pomerium/callback é acessível sem credenciais e processa payloads criptografados via HPKE antes que a identidade do remetente seja validada. A função decodeQueryStringV2 em pkg/hpke/url.go realiza a descompressão zstd de dados controlados por um invasor sem um limite de memória de saída. Um invasor não autenticado pode obter a chave pública do receptor em /.well-known/pomerium/hpke-public-key, fornecer uma chave de remetente correspondente e enviar um payload compactado (uma bomba de descompressão) para o endpoint /.pomerium/callback. Isso pode resultar na alocação de centenas de megabytes de memória por requisição, levando ao esgotamento da memória, travamentos do processo ou degradação de desempenho, bloqueando efetivamente o acesso aos aplicativos protegidos. Este problema não afeta implantações stateful, pois estas verificam uma assinatura HMAC antes da descriptografia e descompressão.

Recommendations Atualize para a versão 0.32.8. Como mitigação temporária, restrinja o acesso ao endpoint /.pomerium/callback a fontes confiáveis, se possível, ou implemente um limite de memória no processo do proxy para evitar a falha total do sistema.