CVE-2026-67309
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Traefik w wersjach >= v3.7.0 i <= v3.7.7 zawiera podatność na path traversal w oprogramowaniu pośredniczącym RewriteTarget dostawcy Kubernetes Ingress NGINX (generowanym z adnotacji nginx.ingress.kubernetes.io/rewrite-target). Gdy ścieżka Ingress używa wyrażenia regularnego przechwytującego tekst kontrolowany przez atakującego bez wymagania separatora ścieżki (np. ścieżka /api(.*) z celem przepisania /$1), spreparowane żądanie, takie jak /api../admin, pasuje do publicznego routera, jest przepisywane na ścieżkę z przejściem kropkowym (/../admin) i przekazywane bez walidacji normalizacji po zastąpieniu. Backend, który normalizuje segmenty kropkowe, rozwiązuje ścieżkę do chronionego punktu końcowego (np. /admin) osiągalnego tylko przez oddzielny router zabezpieczony BasicAuth, DigestAuth lub ForwardAuth, co skutkuje obejściem uwierzytelniania na poziomie trasy. Problem został naprawiony w wersji v3.7.8.
Ocena ryzyka
Atakujący może ominąć uwierzytelnianie i uzyskać dostęp do chronionych punktów końcowych, co prowadzi do nieautoryzowanego dostępu do wrażliwych zasobów.
Rekomendacja
Zaktualizuj Traefik do wersji 3.7.8 lub nowszej. Przejrzyj konfiguracje Ingress używające adnotacji nginx.ingress.kubernetes.io/rewrite-target i upewnij się, że wyrażenia regularne wymagają separatorów ścieżki.
Inne podatności w Traefik
Zobacz wszystkie- CVE-2026-54763Krytyczne
W Traefik przed wersjami v2.11.51, v3.6.22 i v3.7.6, mechanizmy uwierzytelniania BasicAuth, DigestAuth i ForwardAuth nie usuwają nagłówków tożsamości z podkreślnikami, które backendy normalizują do postaci z myślnikami. Atakujący może wstrzyknąć taki nagłówek, aby podszyć się pod tożsamość lub ominąć autoryzację.
- CVE-2026-53622Krytyczne
W Traefik przed wersją 3.7.3 wykryto krytyczną podatność w konfiguracji TLS dla HTTP/3 (QUIC). Nieuwierzytelnieni klienci mogą ominąć wymuszone uwierzytelnianie mTLS dla konkretnych routerów, ponieważ uzgadnianie TLS niepoprawnie obsługuje wzorce wieloznaczne (np. *.example.com) i warianty wielkości liter nazwy hosta.
- CVE-2026-48491Krytyczne
W Traefik w wersjach od 3.7.0 do 3.7.3 wykryto podatność w mechanizmie ochrony przed domain-fronting (SNICheck). Umożliwia ona nieuwierzytelnionemu klientowi ominięcie wzajemnego uwierzytelniania TLS wymuszonego przez reguły routera z wildcardem, poprzez wysłanie żądania HTTP z nagłówkiem Host do chronionego backendu po wcześniejszym nawiązaniu połączenia TLS z permisjami dla innego SNI.
- CVE-2026-48020Krytyczne
W Traefik przed wersjami 2.11.48, 3.6.19 i 3.7.3 wykryto podatność w middleware StripPrefix. Nieuwierzytelniony atakujący może ominąć uwierzytelnianie i autoryzację na poziomie routingu, używając ścieżek zawierających .. lub %2e%2e, które po normalizacji prowadzą do chronionych zasobów.
- CVE-2026-44774Krytyczne
Podatność w Traefiku pozwala użytkownikowi z uprawnieniami do tworzenia tras HTTP w Kubernetes Gateway API na ominięcie ustawienia providers.rest.insecure=false i uzyskanie dostępu do REST provider handler. Dzięki akceptowaniu backendów TraefikService z nazwą kończącą się na @internal, możliwe jest przekierowanie ruchu do rest@internal, co w środowiskach współdzielonych umożliwia nieautoryzowaną zmianę konfiguracji routerów i usług.
- CVE-2026-39858Krytyczne
W Traefik wykryto podatność na ominięcie uwierzytelniania w mechanizmie ForwardAuth i middleware opartym na snippetach. Problem wynika z braku normalizacji nagłówków zawierających podkreślniki zamiast myślników, co pozwala atakującemu na wstrzyknięcie spreparowanych nagłówków i ominięcie uwierzytelniania bez ważnych poświadczeń.
- CVE-2026-35051Krytyczne
W Traefik wykryto podatność na ominięcie uwierzytelniania w middleware ForwardAuth, gdy opcja trustForwardHeader=false jest skonfigurowana, a Traefik działa za zaufanym proxy upstream. Problem został załatany w wersjach 2.11.43, 3.6.14 i 3.7.0-rc.2.
- CVE-2026-71327Wysokie
Podatność w Traefik (wersje od 3.0.0 do 3.6.25 i 3.7.10) w dostawcy Kubernetes Gateway API. Konstrukcja tożsamości routerów i usług może powodować kolizje, umożliwiając nadpisanie backendu innej przestrzeni nazw.
- CVE-2026-71326Niskie
Traefik od 3.6.11 do 3.6.25 i 3.7.10 ma podatność w middleware BasicAuth, która pozwala atakującemu z ważnym poświadczeniem i hashem uwierzytelnić się jako niekonfigurowana nazwa użytkownika.
- CVE-2026-71325Średnie
W Traefik przed wersjami 2.11.54, 3.6.25 i 3.7.10, referencje @kubernetescrd między przestrzeniami nazw nie są odrzucane dla backendów TraefikService rozwiązywanych przez resolver usług. Użytkownik ograniczony przez RBAC do jednej przestrzeni nazw może podpiąć swój router do TraefikService z innej przestrzeni i ujawnić lub przekierować backend tej przestrzeni, łamiąc izolację narzuconą przez allowCrossNamespace=false.
Oryginalny opis (angielski, źródło NVD)
Traefik versions >= v3.7.0 and <= v3.7.7 contain a path traversal vulnerability in the Kubernetes Ingress NGINX provider's RewriteTarget middleware (generated from the nginx.ingress.kubernetes.io/rewrite-target annotation). When an Ingress path uses a regex that captures attacker-controlled text without requiring a path separator (e.g., path /api(.*) with rewrite target /$1), a crafted request such as /api../admin matches the public router, is rewritten to a dot-segment traversal path (/../admin), and is forwarded without post-replacement normalization validation. A backend that normalizes dot segments resolves the path to a protected endpoint (e.g., /admin) reachable only through a separate router secured with BasicAuth, DigestAuth, or ForwardAuth, resulting in route-level authentication bypass. The issue is fixed in v3.7.8.