CVE-2026-85594

Traefik przed wersją v2.11.55 zawiera podatność na konflikt opcji TLS, która pozwala nieuwierzytelnionym atakującym ominąć uwierzytelnianie certyfikatem klienta poprzez tworzenie sprzecznych opcji TLS na routerach z wieloma hostami. Atakujący mogą dotrzeć do chronionych backendów, wykorzystując wspólne rozwiązywanie TLS dla wielu nazw hostów w jednej regule routera, co powoduje, że ścisłe wymaganie mTLS spada do domyślnych opcji dla wszystkich hostów.

Traefik w wersjach >= v3.7.0 i <= v3.7.10 zawiera obejście uwierzytelniania w dostawcy Kubernetes Ingress NGINX. Opcja TLS wygenerowana dla Ingress z adnotacją nginx.ingress.kubernetes.io/auth-tls-secret była nazwana według przestrzeni nazw i nazwy Ingress. W rezultacie dwa obiekty Ingress współdzielące ten sam host, ten sam sekret CA klienta i ten sam tryb uwierzytelniania klienta tworzyły dwie różne nazwy opcji TLS dla tego hosta. Traefik traktuje to jako konflikt opcji TLS i wraca do domyślnej konfiguracji TLS punktu wejścia, która nie wymaga certyfikatu klienta, więc trasa skonfigurowana z nginx.ingress.kubernetes.io/auth-tls-verify-client: "on" staje się osiągalna bez certyfikatu klienta. Dotyczy tylko linii v3.7; problem naprawiono w v3.7.11.

Traefik przed wersją v2.11.55 zawiera podatność na ominięcie uwierzytelniania w middleware digestAuth, gdzie nieznane nazwy użytkowników otrzymują pusty sekret zamiast odrzucenia. Atakujący mogą obliczyć poprawną odpowiedź digest przy użyciu pustego sekretu i dowolnych poświadczeń, aby ominąć uwierzytelnianie na dowolnej trasie chronionej digestAuth bez ważnej nazwy użytkownika lub hasła.

W Traefik przed wersjami v2.11.51, v3.6.22 i v3.7.6, mechanizmy uwierzytelniania BasicAuth, DigestAuth i ForwardAuth nie usuwają nagłówków tożsamości z podkreślnikami, które backendy normalizują do postaci z myślnikami. Atakujący może wstrzyknąć taki nagłówek, aby podszyć się pod tożsamość lub ominąć autoryzację.

Traefik w wersjach przed 3.7.3, 3.6.18 i 2.11.51 ma krytyczną podatność w wyborze konfiguracji TLS dla HTTP/3 (QUIC), która pozwala nieuwierzytelnionym klientom ominąć egzekwowanie mTLS specyficzne dla routera. Gdy HTTP/3 jest włączone na entrypoincie, uzgadnianie TLS wybiera konfigurację TLS na podstawie dokładnego, uwzględniającego wielkość liter wyszukiwania wartości SNI, co nie obsługuje wzorców z wildcardami (np. *.example.com) ani wariantów wielkości liter skonfigurowanej nazwy hosta. W rezultacie klient może ukończyć uzgadnianie QUIC bez przedstawienia certyfikatu, a warstwa routingu HTTP nadal kieruje żądanie do backendu chronionego polityką mTLS specyficzną dla routera.

W Traefik w wersjach od 3.7.0 do 3.7.3 wykryto podatność w mechanizmie ochrony przed domain-fronting (SNICheck). Umożliwia ona nieuwierzytelnionemu klientowi ominięcie wzajemnego uwierzytelniania TLS wymuszonego przez reguły routera z wildcardem, poprzez wysłanie żądania HTTP z nagłówkiem Host do chronionego backendu po wcześniejszym nawiązaniu połączenia TLS z permisjami dla innego SNI.

W Traefik przed wersjami 2.11.48, 3.6.19 i 3.7.3 wykryto podatność w middleware StripPrefix. Nieuwierzytelniony atakujący może ominąć uwierzytelnianie i autoryzację na poziomie routingu, używając ścieżek zawierających .. lub %2e%2e, które po normalizacji prowadzą do chronionych zasobów.

Podatność w Traefiku pozwala użytkownikowi z uprawnieniami do tworzenia tras HTTP w Kubernetes Gateway API na ominięcie ustawienia providers.rest.insecure=false i uzyskanie dostępu do REST provider handler. Dzięki akceptowaniu backendów TraefikService z nazwą kończącą się na @internal, możliwe jest przekierowanie ruchu do rest@internal, co w środowiskach współdzielonych umożliwia nieautoryzowaną zmianę konfiguracji routerów i usług.

W Traefik wykryto podatność na ominięcie uwierzytelniania w mechanizmie ForwardAuth i middleware opartym na snippetach. Problem wynika z braku normalizacji nagłówków zawierających podkreślniki zamiast myślników, co pozwala atakującemu na wstrzyknięcie spreparowanych nagłówków i ominięcie uwierzytelniania bez ważnych poświadczeń.

W Traefik wykryto podatność na ominięcie uwierzytelniania w middleware ForwardAuth, gdy opcja trustForwardHeader=false jest skonfigurowana, a Traefik działa za zaufanym proxy upstream. Problem został załatany w wersjach 2.11.43, 3.6.14 i 3.7.0-rc.2.