🇰🇷 한글 설명
Envoy 프록시의 zstd 압축 해제 구현체(ZstdDecompressorImpl)에서 발생하는 취약점입니다. 특수하게 제작된 고압축 zstd 페이로드를 처리할 때 과도한 메모리 할당이 발생하여, 메모리 고갈로 인한 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
압축된 파일을 풀 때 컴퓨터의 메모리를 비정상적으로 많이 사용하게 만드는 공격입니다. 이로 인해 서버의 메모리가 가득 차서 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
Envoy is an open source edge and service proxy designed for cloud-native applications. From 1.23.0 until 1.35.11, 1.36.7, 1.37.3, and 1.38.1, a vulnerability has been identified in Envoy's zstd decompressor implementation (ZstdDecompressorImpl). When zstd decompression is enabled, processing a specially crafted, highly compressed zstd payload can lead to massive memory allocation. An attacker can exploit this to cause severe memory exhaustion, potentially resulting in an Out-Of-Memory (OOM) kill and Denial of Service (DoS) for the Envoy proxy. This vulnerability is fixed in 1.35.11, 1.36.7, 1.37.3, and 1.38.1.
📍 영향받는 시스템
Envoy 1.23.0 ~ 1.35.10, 1.36.0 ~ 1.36.6, 1.37.0 ~ 1.37.2, 1.38.0
⚔️ 공격 벡터
zstd 압축 해제가 활성화된 상태에서 조작된 고압축 페이로드를 전송하여 메모리 고갈 유도
🛡️ 대응 방법
Envoy를 수정 버전인 1.35.11, 1.36.7, 1.37.3 또는 1.38.1 이상으로 업데이트
🔧 검증 코드
출력된 버전이 취약한 범위에 해당하면 업데이트가 필요한 상태입니다.
envoy --version 2>/dev/null | grep -E 'v(1.23\.|1.35\.(?<!11)|1.36\.(?<!7)|1.37\.(?<!3)|1.38\.(?<!1))'