CVE-2026-53717

Envoy Gateway, Envoy Proxy-ni müstəqil və ya Kubernetes əsaslı tətbiq şlüzü kimi idarə etmək üçün açıq mənbəli layihədir. 1.7.4 və 1.8.1 versiyalarından əvvəl, internal/wasm/imagefetcher.go faylı tenant tərəfindən idarə olunan EnvoyExtensionPolicy spec.wasm[].code.image.url dəyərlərini Docker və ya OCI Wasm təbəqələrinə yönləndirir və extractWasmPluginBinary funksiyası giriş adını və ya bəyan edilmiş ölçünü yoxlamazdan əvvəl yaddaşı ayırmaq üçün etibarsız tar-başlığı h.Size dəyərindən istifadə edir. Buna görə də kiçik bir PAX və ya GNU tar başlığı, ətrafdakı LimitReader yalnız axından oxunan baytları məhdudlaşdırdığı halda belə, çox terabaytlıq giriş olduğunu iddia edə bilər və heç bir reyestr ağ siyahısı (allowlist) icazə verilmiş tenant-ın kontrollerin çatdığı hücumçu tərəfindən idarə olunan reyestri seçməsinin qarşısını almır. Yaddaş ayrılması hər bir tar girişi üçün cəhd edilir və bu, bərpa olunmayan Go runtime yaddaş çatışmazlığına (out-of-memory) səbəb ola bilər; fərdiləşdirilmiş resurs qalıcı olduğu üçün uzlaşdırma prosesi ortaq kontrolleri təkrarən çökmə döngüsünə salır və tək sorğu ilə həyata keçirilən, qeyri-volumetrik, klaster miqyaslı idarəetmə müstəvisinin (control-plane) xidmətdən imtinasına səbəb olur. Bu problem 1.7.4 və 1.8.1 versiyalarında düzəldilib.