CVE-2026-50285

Pomerium, kimlik ve bağlam duyarlı bir erişim proxy'sidir. 0.32.8 sürümünden önce, internal/authenticateflow/stateless.go içindeki Stateless.Callback için HPKE V2 değerleri DecryptURLValues tarafından işlendiğinde, pkg/hpke/url.go içindeki decodeQueryStringV2, saldırgan kontrollü verilerin zstd sıkıştırmasını herhangi bir çıktı bellek sınırı olmaksızın gerçekleştirir. Barındırılan veya durumsuz (stateless) kimlik doğrulama dağıtımlarında, kimliği doğrulanmamış bir saldırgan /.well-known/pomerium/hpke-public-key adresinden alıcı anahtarını elde edebilir, buna uygun saldırgan kontrollü bir gönderici anahtarı sağlayabilir ve validateSenderPublicKey göndericiyi reddetmeden önce genişleyen sıkıştırılmış bir yükü /.pomerium/callback adresine gönderebilir. Bu durum istek başına yüzlerce megabayt tahsis edilmesine, proxy belleğinin tükenmesine, işlemin çökmesine veya performansının düşmesine ve dağıtım tarafından korunan uygulamalara erişimin engellenmesine neden olabilir. Durumlu (stateful) dağıtımlar etkilenmemektedir çünkü durumlu geri çağırma işlemi, şifre çözme ve sıkıştırmayı açmadan önce HMAC imzasını doğrular. Bu sorun 0.32.8 sürümünde düzeltilmiştir.