CVE-2026-48491
Təsvir
Traefik bir HTTP tərs proksisi və yük balanslayıcısıdır. 3.7.0 versiyasından 3.7.3 versiyasına qədər Traefik-in domen önü (domain-fronting) mühafizəsində (SNICheck) yüksək dərəcəli zəiflik mövcuddur ki, bu da autentifikasiya olunmamış kliyentin wildcard router TLSOptions vasitəsilə tətbiq edilən qarşılıqlı TLS-dən (mutual TLS) yan keçməsinə şərait yaradır. Router `Host(*.example.com)` kimi wildcard host qaydasını daha ciddi TLS seçimləri ilə (məsələn, `RequireAndVerifyClientCert`) istifadə etdikdə, SNICheck HTTP Host başlığı üçün TLS seçimlərini yalnız dəqiq xəritə axtarışları (exact map lookups) ilə həll edir və heç vaxt wildcard uyğunlaşmasını tətbiq etmir. Əgər eyni giriş nöqtəsində (entrypoint) digər tolerant SNI xidmət göstərirsə, hücumçu tolerant seçimlər altında TLS əl sıxma prosesini tamamlaya və sonra wildcard ilə qorunan backend-i hədəfləyən HTTP Host başlığını göndərərək, kliyent sertifikatı təqdim etmədən ona çata bilər. Bu, standart HTTPS / HTTP-2 yoluna təsir edir və HTTP/3 tələb etmir. Bu zəiflik 3.7.3 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- traefik traefik3.7.3 və ya daha yeni versiya
- github.com/traefik/traefik/v22.11.48 və ya daha yeni versiya
- github.com/traefik/traefik/v33.7.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| traefik traefik | 3.7.0 ≤ v < 3.7.3 | 3.7.3 |
| github.com/traefik/traefik/v2Go | v < 2.11.48 | 2.11.48 |
| github.com/traefik/traefik/v3Go | 3.7.0 ≤ v < 3.7.3 | 3.7.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.