🇰🇷 한글 설명
Envoy Gateway의 특정 버전에서 신뢰할 수 없는 tar 헤더의 크기 값을 사용하여 메모리를 할당할 때 발생하는 취약점입니다. 공격자가 조작된 이미지 URL을 통해 거대한 크기를 가진 tar 엔트리를 전달하면, 컨트롤러가 메모리 부족(OOM)으로 인해 반복적으로 충돌하며 클러스터 전체의 제어 평면에 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
공격자가 가짜 정보를 담은 파일을 보내면 시스템이 이를 처리하려다 메모리가 꽉 차서 멈춰버리는 문제입니다. 이로 인해 관리 시스템 전체가 마비되어 정상적인 서비스 운영이 불가능해질 수 있습니다.
🇺🇸 원문 (English)
Envoy Gateway is an open source project for managing Envoy Proxy as a standalone or Kubernetes-based application gateway. Prior to 1.7.4 and 1.8.1, internal/wasm/imagefetcher.go follows tenant-controlled EnvoyExtensionPolicy spec.wasm[].code.image.url values to Docker or OCI Wasm layers, and extractWasmPluginBinary uses the untrusted tar-header h.Size value to allocate memory before validating the entry name or declared size. A small PAX or GNU tar header can therefore claim a multi-terabyte entry even though the surrounding LimitReader restricts only the bytes read from the stream, and no registry allowlist prevents a permitted tenant from selecting an attacker-controlled registry that the controller can reach. The allocation is attempted for every tar entry and can cause an unrecoverable Go runtime out-of-memory failure; because the custom resource persists, reconciliation repeatedly crash-loops the shared controller and causes a single-request, non-volumetric, cluster-wide control-plane denial of service. This issue is fixed in versions 1.7.4 and 1.8.1.
📍 영향받는 시스템
Envoy Gateway 1.7.4 미만 및 1.8.1 미만 버전
⚔️ 공격 벡터
신뢰할 수 없는 레지스트리로부터 조작된 크기 정보를 가진 Wasm 이미지를 로드하도록 유도
🛡️ 대응 방법
Envoy Gateway를 1.7.4 또는 1.8.1 이상의 버전으로 업데이트
🔧 검증 코드
출력된 버전이 1.7.4 또는 1.8.1보다 낮은지 확인하여 취약 여부를 판단합니다.
helm list -A | grep envoy-gateway | awk '{print $4}'