CVE-2026-88877
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 0.4%
- CWE
- CWE-639
- KEV Durumu
- Hayır
Yayım tarihi: 10 Eylül 2026
Etkilenen: traefik traefik
Traefik, bir HTTP ters proxy ve yük dengeleyici olarak kullanılır. v3.7.0 ve v3.7.11 sürümlerinde, Kubernetes ingress-nginx sağlayıcısı, hem kimlik doğrulama ek notunu hem de nginx.ingress.kubernetes.io/from-to-www-redirect ek notunu taşıyan Ingress'lere yanlış şekilde davranır. Bu tür Ingress'ler için sağlayıcı, yalnızca RedirectRegex middleware'ini taşıyan ve hala ana router'ın korumalı arka uç hizmetine işaret eden, yalnızca konak üzerinde eşleşen ek bir 'kardeş' router oluşturur. RedirectRegex terminal bir işleyici olmadığından, desenini eşleştirmeyen bir istek arka uç hizmetine iletilir ve yönlendirme deseni yalnızca numerik bir port kabul ettiği halde Traefik'in konak eşleştirmesi yetkilendirmeyi net.SplitHostPort aracılığıyla yapar, bu nedenle numerik olmayan veya boş bir port (örneğin 'Host: www.example.com:x') ile yapılan bir istek, kardeş router'ı seçer, yönlendirmeyi kaçırır ve korumalı arka uç hizmetine, Ingress'in ek notundan türetilen hiçbir middleware uygulanmadan proxy edilir. Bu, yalnızca kimlik doğrulama (örneğin BasicAuth) değil, aynı zamanda kaynak IP allowlisting dahil olmak üzere tüm ek notundan türetilen middleware'leri atlar. Traefik v2 ve v3 sürümlerinin v3.7.0'dan önceki sürümleri etkilenmez. Sorun v3.7.12'de çözülmüştür.
Orijinal açıklama (İngilizce)
Traefik is a HTTP reverse proxy and load balancer. In versions >= v3.7.0 and <= v3.7.11, the Kubernetes ingress-nginx provider mishandles Ingresses that carry both an authentication annotation and the nginx.ingress.kubernetes.io/from-to-www-redirect annotation. For such Ingresses the provider creates an additional 'sibling' router that matches on the host alone, carries only the RedirectRegex middleware, and still points at the parent router's protected backend service. Because RedirectRegex is not a terminal handler, a request its pattern does not match is forwarded to the backend, and because the redirect pattern only accepts a numeric port while Traefik's host matcher canonicalizes the authority via net.SplitHostPort, a request with a non-numeric or empty port (for example 'Host: www.example.com:x') selects the sibling router, misses the redirect, and is proxied to the protected backend with none of the Ingress's annotation-derived middlewares applied. This discards not only authentication (e.g. BasicAuth) but every annotation-derived middleware, including source-IP allowlisting. Traefik v2 and v3 releases before v3.7.0 are not affected. The issue is fixed in v3.7.12.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.