CVE-2026-41263
Təsvir
Traefik bir HTTP reverse proxy və yük balanslaşdırıcısıdır. 2.11.43, 3.6.14 və 3.7.0-rc.2 versiyalarından əvvəl Traefik-in BasicAuth middleware komponentində cavab müddətindəki fərqlər vasitəsilə hücumçunun etibarlı istifadəçi adlarını aşkar etməsinə imkan verən zamanlama yan kanal zəifliyi mövcuddur. Sabit zamanlı ehtiyat sirrini saxlamaq üçün nəzərdə tutulmuş dəyişən həmişə boş sətir kimi təyin edilir, bu da sabit zamanlı müqayisənin tam bcrypt qiymətləndirməsini yerinə yetirmək əvəzinə mikrosaniyələr ərzində qısa yolla tamamlanmasına səbəb olur. Bu, orijinal zamanlama orakulunu bərpa edir və autentifikasiya cavab müddətlərini ölçərək mövcud istifadəçiləri mövcud olmayanlardan fərqləndirməyi mümkün edir. Bu problem 2.11.43, 3.6.14 və 3.7.0-rc.2 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- traefik traefik2.11.43, 3.6.14 və ya daha yeni versiya
- github.com/traefik/traefik/v33.7.0-rc.2, 3.6.14 və ya daha yeni versiya
- github.com/traefik/traefik/v22.11.43 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| traefik traefik | v < 2.11.43, 3.0.0 ≤ v < 3.6.14, 3.7.0 | 2.11.43, 3.6.14 |
| github.com/traefik/traefik/v3Go | 3.7.0-ea.1 ≤ v < 3.7.0-rc.2, 3.0.0-beta1 ≤ v < 3.6.14 | 3.7.0-rc.2, 3.6.14 |
| github.com/traefik/traefik/v2Go | v < 2.11.43 | 2.11.43 |
| github.com/traefik/traefikGo | v ≤ 1.7.34, Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.