🇰🇷 한글 설명
Pomerium의 기반이 되는 Envoy 프록시에서 H/2 GOAWAY와 SETTINGS 프레임이 동일한 IO 이벤트로 수신될 경우 비정상적으로 종료되는 취약점입니다. 신뢰할 수 없는 업스트림 서버가 존재할 경우 서비스 거부(DoS) 공격으로 이어질 수 있습니다.
💡 쉬운 설명
특수한 네트워크 신호를 동시에 보내 서버를 강제로 종료시키는 공격입니다. 이로 인해 서비스가 중단되어 사용자가 접속할 수 없게 될 수 있습니다.
🇺🇸 원문 (English)
Pomerium is an open source identity-aware access proxy. Envoy, which Pomerium is based on, can abnormally terminate if an H/2 GOAWAY and SETTINGS frame are received in the same IO event. This can lead to a DoS in the presence of untrusted *upstream* servers. 0.15.1 contains an upgraded envoy binary with this vulnerability patched. If only trusted upstreams are configured, there is not substantial risk of this condition being triggered.
📍 영향받는 시스템
Pomerium 0.15.1 미만 버전 (Envoy 기반 시스템)
⚔️ 공격 벡터
신뢰할 수 없는 업스트림 서버가 조작된 HTTP/2 프레임을 전송하여 프록시 프로세스를 종료시킴
🛡️ 대응 방법
Pomerium를 0.15.1 이상의 버전으로 업데이트하여 패치된 Envoy 바이너리를 적용하십시오.
🔧 검증 코드
출력된 버전이 0.15.1 미만이면 취약한 버전이 설치된 상태입니다.
pomerium --version 2>/dev/null | grep -E '0\.(1[0-4]|\d+)'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
💻 영향받는 소프트웨어
IBM Verify Identity Access