🇰🇷 한글 설명
Envoy Gateway의 특정 버전에서 gzip 압축을 해제할 때 출력 크기를 제한하지 않는 취약점이 발견되었습니다. 공격자가 조작된 Wasm 페이로드를 제공할 경우, 압축 해제 과정에서 과도한 메모리가 할당되어 컨트롤러가 종료되고 서비스 중단이 발생할 수 있습니다.
💡 쉬운 설명
압축된 파일을 풀 때 내용물이 얼마나 커질지 확인하지 않아, 아주 작은 파일로도 컴퓨터의 메모리를 가득 채워 시스템을 멈추게 할 수 있는 문제입니다. 이로 인해 관리 시스템이 계속 꺼졌다 켜지기를 반복하며 서비스가 마비될 수 있습니다.
🇺🇸 원문 (English)
Envoy Gateway is an open source project for managing Envoy Proxy as a standalone or Kubernetes-based application gateway. Prior to 1.7.4 and 1.8.1, getFileFromGZ in internal/wasm/httpfetcher.go calls io.ReadAll on a gzip.Reader without limiting decompressed output when a tenant-controlled EnvoyExtensionPolicy.spec.wasm[].code.http.url points to a reachable compressed Wasm payload. The 256 MiB compressed-input cap does not constrain the expanded size, no operator Wasm URL allowlist exists, and the optional sha256 check occurs only after decompression, so a comparatively small gzip stream can force a multi-gigabyte allocation in the shared controller. The resulting out-of-memory termination restarts the controller, re-reconciles the persistent custom resource, and can create a persistent cross-tenant control-plane outage. This issue is fixed in versions 1.7.4 and 1.8.1.
📍 영향받는 시스템
Envoy Gateway 1.7.4 미만 및 1.8.1 미만 버전
⚔️ 공격 벡터
사용자가 제어 가능한 Wasm URL에 압축 해제 시 메모리 폭증을 유도하는 조작된 gzip 파일을 배치하여 공격
🛡️ 대응 방법
Envoy Gateway를 보안 패치가 적용된 버전인 1.7.4 또는 1.8.1 이상으로 업데이트
🔧 검증 코드
출력된 버전이 1.7.4 또는 1.8.1보다 낮은지 확인하여 취약 여부를 판단합니다.
helm list -A | grep envoy-gateway | awk '{print $4}'