Relatório de vulnerabilidade sem caso de repro. O caso Repro pode ser adicionado mais tarde após o arnês estar completo. **Condições prévias ( 4 ):** - O locatário pode criar EnvoyExtensionPolicy (baseline) - O controlador tem saída para o registro OCI controlado pelo atacante - Nenhuma lista de permissões de registro (não existe no código) - Camada apresenta o tipo de mídia Docker/OCI.
No imagefetcher.go: 287, make([]byte, h.Size) usa o tamanho do alcatrão controlado pelo atacante; o LimitReader em: 278 limites bytes lidos a partir do fluxo, mas não o tamanho declarado pelo cabeçalho retornado pelo tr.Next() (a 512 -byte pode reclamar uma entrada multi- TB através da codificação PAX/ GNU. Alcançada a partir de entradas inquilino não confiadas via EnvoyExtensionPolicy spec.wasm[].code.image.url (envoyextensionpolicy.go: 1157 → cache.go: 262 / 299 → imagefetcher.go: 218 →: 287 ) e a alocação ocorre para cada entrada de tar, independentemente do nome do arquivo. O lançamento de Go runtime OOM resultante é irrecuperável e, como o CRD persiste, bloqueia o controle compartilhado — uma única solicitação, não volumétrica, DoS em todo o cluster. Registro de aconselhamento: GHSA- h 7 pq-. 86 h 8 - rp 5 x. Identificadores relacionados: CVE- 2026 - 53717.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 16 T 19: 20: 05.000 Z e lista a sua última modificação como 2026 - 07 - 16 T 19: 20: 05.000 Z. Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H.
Software afetado e informações de versão: Vá pacote github.com/envoyproxy/gateway — ECOSYSTEM: introduzido 1.8.0 -Cr. 0, corrigido 1.8.1. Go pacote github.com/envoyproxy/gateway — ECOSISTEM: introduzido 0, corrigido 1.7.4. Classificação e evidência: identificadores de fraqueza CWE- 789. O registro contém 2 suporte de referências nestes tipos: WEB, PACKAGE.