CVE-2026-32595
Təsvir
Traefik HTTP tərs proksisi və yük balanslaşdırıcısıdır. Versiya 2.11.40 və daha aşağı, 3.0.0-beta1-dən 3.6.11-ə qədər olan versiyalar və 3.7.0-ea.1 versiyası zamanlama hücumu (timing attack) vasitəsilə istifadəçi adlarının sadalanmasına imkan verən BasicAuth middleware komponentini ehtiva edir. Təqdim edilən istifadəçi adı mövcud olduqda, middleware təxminən 166ms çəkən bcrypt parol müqayisəsini həyata keçirir. İstifadəçi adı mövcud olmadıqda isə cavab dərhal (~0.6ms ərzində) geri dönür. Bu ~298 dəfəlik zaman fərqi şəbəkə üzərindən müşahidə oluna bilir və autentifikasiya olunmamış hücumçuya etibarlı şəkildə düzgün və yanlış istifadəçi adlarını bir-birindən ayırmağa imkan verir. Bu problem 2.11.41, 3.6.11 və 3.7.0-ea.2 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- traefik traefik2.11.41 və ya daha yeni versiya
- github.com/traefik/traefik/v22.11.41 və ya daha yeni versiya
- github.com/traefik/traefik/v33.6.11, 3.7.0-ea.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| traefik traefik | v < 2.11.41, 3.0.0 ≤ v ≤ 3.6.11, 3.7.0 | 2.11.41 |
| github.com/traefik/traefikGo | v ≤ 1.7.34, Aralıq göstərilməyib | — |
| github.com/traefik/traefik/v2Go | v < 2.11.41 | 2.11.41 |
| github.com/traefik/traefik/v3Go | v < 3.6.11, 3.7.0-ea.1 ≤ v < 3.7.0-ea.2 | 3.6.11, 3.7.0-ea.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.