CVE-2026-33433

W Traefik przed wersjami v2.11.51, v3.6.22 i v3.7.6, mechanizmy uwierzytelniania BasicAuth, DigestAuth i ForwardAuth nie usuwają nagłówków tożsamości z podkreślnikami, które backendy normalizują do postaci z myślnikami. Atakujący może wstrzyknąć taki nagłówek, aby podszyć się pod tożsamość lub ominąć autoryzację.

W Traefik przed wersją 3.7.3 wykryto krytyczną podatność w konfiguracji TLS dla HTTP/3 (QUIC). Nieuwierzytelnieni klienci mogą ominąć wymuszone uwierzytelnianie mTLS dla konkretnych routerów, ponieważ uzgadnianie TLS niepoprawnie obsługuje wzorce wieloznaczne (np. *.example.com) i warianty wielkości liter nazwy hosta.

W Traefik w wersjach od 3.7.0 do 3.7.3 wykryto podatność w mechanizmie ochrony przed domain-fronting (SNICheck). Umożliwia ona nieuwierzytelnionemu klientowi ominięcie wzajemnego uwierzytelniania TLS wymuszonego przez reguły routera z wildcardem, poprzez wysłanie żądania HTTP z nagłówkiem Host do chronionego backendu po wcześniejszym nawiązaniu połączenia TLS z permisjami dla innego SNI.

W Traefik przed wersjami 2.11.48, 3.6.19 i 3.7.3 wykryto podatność w middleware StripPrefix. Nieuwierzytelniony atakujący może ominąć uwierzytelnianie i autoryzację na poziomie routingu, używając ścieżek zawierających .. lub %2e%2e, które po normalizacji prowadzą do chronionych zasobów.

Podatność w Traefiku pozwala użytkownikowi z uprawnieniami do tworzenia tras HTTP w Kubernetes Gateway API na ominięcie ustawienia providers.rest.insecure=false i uzyskanie dostępu do REST provider handler. Dzięki akceptowaniu backendów TraefikService z nazwą kończącą się na @internal, możliwe jest przekierowanie ruchu do rest@internal, co w środowiskach współdzielonych umożliwia nieautoryzowaną zmianę konfiguracji routerów i usług.

W Traefik wykryto podatność na ominięcie uwierzytelniania w mechanizmie ForwardAuth i middleware opartym na snippetach. Problem wynika z braku normalizacji nagłówków zawierających podkreślniki zamiast myślników, co pozwala atakującemu na wstrzyknięcie spreparowanych nagłówków i ominięcie uwierzytelniania bez ważnych poświadczeń.

W Traefik wykryto podatność na ominięcie uwierzytelniania w middleware ForwardAuth, gdy opcja trustForwardHeader=false jest skonfigurowana, a Traefik działa za zaufanym proxy upstream. Problem został załatany w wersjach 2.11.43, 3.6.14 i 3.7.0-rc.2.

Podatność w Traefik (wersje od 3.0.0 do 3.6.25 i 3.7.10) w dostawcy Kubernetes Gateway API. Konstrukcja tożsamości routerów i usług może powodować kolizje, umożliwiając nadpisanie backendu innej przestrzeni nazw.

Traefik od 3.6.11 do 3.6.25 i 3.7.10 ma podatność w middleware BasicAuth, która pozwala atakującemu z ważnym poświadczeniem i hashem uwierzytelnić się jako niekonfigurowana nazwa użytkownika.

W Traefik przed wersjami 2.11.54, 3.6.25 i 3.7.10, referencje @kubernetescrd między przestrzeniami nazw nie są odrzucane dla backendów TraefikService rozwiązywanych przez resolver usług. Użytkownik ograniczony przez RBAC do jednej przestrzeni nazw może podpiąć swój router do TraefikService z innej przestrzeni i ujawnić lub przekierować backend tej przestrzeni, łamiąc izolację narzuconą przez allowCrossNamespace=false.