Podatności Traefik

W Traefik przed wersjami v2.11.51, v3.6.22 i v3.7.6, mechanizmy uwierzytelniania BasicAuth, DigestAuth i ForwardAuth nie usuwają nagłówków tożsamości z podkreślnikami, które backendy normalizują do postaci z myślnikami. Atakujący może wstrzyknąć taki nagłówek, aby podszyć się pod tożsamość lub ominąć autoryzację.

W Traefik przed wersją 3.7.3 wykryto krytyczną podatność w konfiguracji TLS dla HTTP/3 (QUIC). Nieuwierzytelnieni klienci mogą ominąć wymuszone uwierzytelnianie mTLS dla konkretnych routerów, ponieważ uzgadnianie TLS niepoprawnie obsługuje wzorce wieloznaczne (np. *.example.com) i warianty wielkości liter nazwy hosta.

W Traefik w wersjach od 3.7.0 do 3.7.3 wykryto podatność w mechanizmie ochrony przed domain-fronting (SNICheck). Umożliwia ona nieuwierzytelnionemu klientowi ominięcie wzajemnego uwierzytelniania TLS wymuszonego przez reguły routera z wildcardem, poprzez wysłanie żądania HTTP z nagłówkiem Host do chronionego backendu po wcześniejszym nawiązaniu połączenia TLS z permisjami dla innego SNI.

W Traefik przed wersjami 2.11.48, 3.6.19 i 3.7.3 wykryto podatność w middleware StripPrefix. Nieuwierzytelniony atakujący może ominąć uwierzytelnianie i autoryzację na poziomie routingu, używając ścieżek zawierających .. lub %2e%2e, które po normalizacji prowadzą do chronionych zasobów.

Podatność w Traefiku pozwala użytkownikowi z uprawnieniami do tworzenia tras HTTP w Kubernetes Gateway API na ominięcie ustawienia providers.rest.insecure=false i uzyskanie dostępu do REST provider handler. Dzięki akceptowaniu backendów TraefikService z nazwą kończącą się na @internal, możliwe jest przekierowanie ruchu do rest@internal, co w środowiskach współdzielonych umożliwia nieautoryzowaną zmianę konfiguracji routerów i usług.

W Traefik wykryto podatność na ominięcie uwierzytelniania w mechanizmie ForwardAuth i middleware opartym na snippetach. Problem wynika z braku normalizacji nagłówków zawierających podkreślniki zamiast myślników, co pozwala atakującemu na wstrzyknięcie spreparowanych nagłówków i ominięcie uwierzytelniania bez ważnych poświadczeń.

W Traefik wykryto podatność na ominięcie uwierzytelniania w middleware ForwardAuth, gdy opcja trustForwardHeader=false jest skonfigurowana, a Traefik działa za zaufanym proxy upstream. Problem został załatany w wersjach 2.11.43, 3.6.14 i 3.7.0-rc.2.

Podatność w Traefik (wersje od 3.0.0 do 3.6.25 i 3.7.10) w dostawcy Kubernetes Gateway API. Konstrukcja tożsamości routerów i usług może powodować kolizje, umożliwiając nadpisanie backendu innej przestrzeni nazw.

Traefik od 3.6.11 do 3.6.25 i 3.7.10 ma podatność w middleware BasicAuth, która pozwala atakującemu z ważnym poświadczeniem i hashem uwierzytelnić się jako niekonfigurowana nazwa użytkownika.

W Traefik przed wersjami 2.11.54, 3.6.25 i 3.7.10, referencje @kubernetescrd między przestrzeniami nazw nie są odrzucane dla backendów TraefikService rozwiązywanych przez resolver usług. Użytkownik ograniczony przez RBAC do jednej przestrzeni nazw może podpiąć swój router do TraefikService z innej przestrzeni i ujawnić lub przekierować backend tej przestrzeni, łamiąc izolację narzuconą przez allowCrossNamespace=false.

Podatność w Traefik (przed 2.11.53, 3.6.24 i 3.7.9) w domyślnym proxy HTTP. Przekazywanie żądań CONNECT może prowadzić do desynchronizacji połączeń, umożliwiając atakującemu przemycenie odpowiedzi do innego klienta.

Traefik w wersjach >= v3.7.0 i <= v3.7.7 zawiera podatność na path traversal w oprogramowaniu pośredniczącym RewriteTarget dostawcy Kubernetes Ingress NGINX (generowanym z adnotacji nginx.ingress.kubernetes.io/rewrite-target). Gdy ścieżka Ingress używa wyrażenia regularnego przechwytującego tekst kontrolowany przez atakującego bez wymagania separatora ścieżki (np. ścieżka /api(.*) z celem przepisania /$1), spreparowane żądanie, takie jak /api../admin, pasuje do publicznego routera, jest przepisywane na ścieżkę z przejściem kropkowym (/../admin) i przekazywane bez walidacji normalizacji po zastąpieniu. Backend, który normalizuje segmenty kropkowe, rozwiązuje ścieżkę do chronionego punktu końcowego (np. /admin) osiągalnego tylko przez oddzielny router zabezpieczony BasicAuth, DigestAuth lub ForwardAuth, co skutkuje obejściem uwierzytelniania na poziomie trasy. Problem został naprawiony w wersji v3.7.8.

Traefik 3.6.0-3.6.22 i 3.7.0-3.7.6 nie egzekwuje listy dozwolonych crossProviderNamespaces dla referencji serversTransport w IngressRouteTCP. Użytkownik Kubernetes z niskimi uprawnieniami w nieautoryzowanej przestrzeni nazw może ustawić serversTransport: foo@file, co pozwala na użycie dostawcy plików TCPServersTransport, w tym uprzywilejowanych certyfikatów klienta mTLS, tożsamości SPIFFE lub ustawień PROXY-protocol. Naprawione w 3.6.23 i 3.7.7.

Traefik w wersjach 3.7.0 do 3.7.6 zawiera podatność na pomylenie przestrzeni nazw w dostawcy Kubernetes Gateway API. Podczas rozwiązywania `HTTPRoute.spec.rules[].backendRefs[].filters[].extensionRef` Traefik używa przestrzeni nazw backendowego Serwisu zamiast przestrzeni nazw HTTPRoute. Osoba z niskimi uprawnieniami do tras, posiadająca ReferenceGrant dla Serwisu w innej przestrzeni nazw, może powiązać Middleware Traefika z przestrzeni nazw backendu bez osobnego grantu, potencjalnie wstrzykując zaufane nagłówki tożsamości reverse-proxy do żądań wychodzących. Problem został naprawiony w wersji 3.7.7.

Traefik w wersjach do 2.11.51, od 3.6.0 do 3.6.22 oraz od 3.7.0 do 3.7.6 zawiera podatność na ominięcie uwierzytelniania przez path traversal w middleware ReplacePathRegex. Niezautoryzowany atakujący może wysłać spreparowane żądanie, które po przetworzeniu przez middleware trafia do backendu bez walidacji normalizacji ścieżki, umożliwiając dostęp do chronionych zasobów.

Traefik w wersjach od 3.7.0 do 3.7.5 ma podatność w dostawcy Kubernetes Gateway API, gdzie dwa zaakceptowane HTTPRoute wskazujące na ten sam backend Service:port, ale z różnymi filtrami backendRef, mogą powodować zastosowanie tylko jednego zestawu filtrów do wszystkich żądań kierowanych do tego backendu. W rezultacie atakujący może narzucić swój kontekst filtru na żądania innej trasy, potencjalnie przekraczając granice przestrzeni nazw.

W Traefik przed wersjami v2.11.51, v3.6.22 i v3.7.6, middleware ForwardAuth, nawet przy ustawieniu trustForwardHeader: false, przekazuje nagłówek X-Forwarded-Port z oryginalnego żądania zamiast z przefiltrowanego. Nieuwierzytelniony atakujący może wstrzyknąć nagłówek X-Forwarded-Proto: https przez zwykłe połączenie HTTP, co powoduje przekazanie X-Forwarded-Port: 443 do serwisu uwierzytelniającego i ominięcie kontroli dostępu opartej na porcie.

Podatność w Traefik przed wersją 2.10.5 i 3.0.0-beta4 umożliwia atak DoS przez szybkie tworzenie i anulowanie strumieni HTTP/2 (technika Rapid Reset). Problem pochodzi z implementacji HTTP/2 w standardowej bibliotece Go.

W Traefik, w wersjach przed 2.11.43, 3.6.14 i 3.7.0-rc.2, wykryto podatność na ominięcie uwierzytelniania w middleware StripPrefixRegex używanym z ForwardAuth, BasicAuth lub DigestAuth. Problem wynika z niezgodności między dekodowaną ścieżką URL a surową ścieżką po obcięciu, co pozwala na przesłanie żądania z kropkowym segmentem (np. /./admin/secret) do backendu, który normalizuje go do chronionej ścieżki.

W Traefiku przed wersjami 2.11.42, 3.6.11 i 3.7.0-ea.3, gdy nagłówek `headerField` jest skonfigurowany z niekanoniczną nazwą (np. `x-auth-user` zamiast `X-Auth-User`), uwierzytelniony atakujący może wstrzyknąć własną kanoniczną wersję tego nagłówka, podszywając się pod dowolną tożsamość w systemie backendowym. Backend otrzymuje dwa wpisy nagłówka, a wstrzyknięty kanoniczny jest odczytywany jako pierwszy, nadpisując niekanoniczny wpis Traefika.

Podatność w Traefiku pozwala na wstrzyknięcie reguł routingu przez interpolację niesprawdzonych wartości użytkownika w dostawcy Knative. Atakujący może ominąć ograniczenia hosta i przekierować ruch do kontrolowanych przez siebie domen, co w środowiskach wielodostępnych prowadzi do nieautoryzowanego dostępu do usług ofiary.

Podatność w Traefiku umożliwia ominięcie uwierzytelniania wzajemnego TLS (mTLS) poprzez wysłanie sfragmentowanego pakietu ClientHello. Gdy fragmentacja uniemożliwia odczytanie SNI, router TCP przełącza się na domyślną konfigurację TLS, która nie wymaga certyfikatów klienckich.

W Traefik w wersjach od 2.11.9 do 2.11.37 oraz od 3.1.3 do 3.6.8 występuje podatność polegająca na nieprawidłowym porównywaniu wielkości liter w nagłówku Connection. Zdalny, nieuwierzytelniony atakujący może użyć małych liter w tokenach Connection, aby ominąć ochronę i usunąć zarządzane przez Traefik nagłówki X-Forwarded.

W Traefiku przed wersjami 2.11.38 i 3.6.9 wykryto podatność w zarządzaniu uzgadnianiem TLS na routerach TCP. Nieuwierzytelniony atakujący może wysłać niekompletny rekord TLS i zatrzymać transmisję, powodując zawieszenie uzgadniania i otwarcie połączenia na czas nieokreślony.

Podatność w Traefik przed wersją 3.6.8 umożliwia nieuwierzytelnionemu klientowi ominięcie limitu czasu odczytu (readTimeout) poprzez wysłanie 8-bajtowego preludium Postgres SSLRequest (STARTTLS), a następnie wstrzymanie transmisji. Powoduje to pozostawanie połączeń otwartych w nieskończoność, prowadząc do odmowy usługi (DoS).