JVNDB-2026-021563

Envoy ProxyのEnvoyにおける高圧縮データの処理 (データ増幅)に関する脆弱性

Envoyはクラウドネイティブアプリケーション向けに設計されたオープンソースのエッジおよびサービスプロキシです。バージョン1.23.0から1.35.11、1.36.7、1.37.3、および1.38.1までの間で、Envoyのzstdデコンプレッサ実装（ZstdDecompressorImpl）に脆弱性が確認されています。zstdデコンプレッションが有効な場合、特別に細工された高圧縮のzstdペイロードを処理すると、膨大なメモリ割り当てが発生する可能性があります。攻撃者はこれを悪用して深刻なメモリ枯渇を引き起こし、Out-Of-Memory（OOM）キルおよびEnvoyプロキシのサービス拒否（DoS）を誘発させる可能性があります。この脆弱性はバージョン1.35.11、1.36.7、1.37.3、および1.38.1で修正されています。

Envoy Proxy

• Envoy 1.23.0 以上 1.35.13 未満
• Envoy 1.36.0 以上 1.36.9 未満
• Envoy 1.37.0 以上 1.37.5 未満
• Envoy 1.38.0 以上 1.38.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Zstd Decompressor: Ratio Check at Wrong Loop Depth lead to memory explosion  Advisory  envoyproxy/envoy  GitHub

1. 高圧縮データの不適切な処理 (データ増幅)(CWE-409) [その他]

1. CVE-2026-48044

1. National Vulnerability Database (NVD) : CVE-2026-48044

• [2026年06月30日]
    掲載