CVE-2026-53622

Traefik HTTP reverse proxy və yük balanslaşdırıcısıdır. 3.7.3, 3.6.18 və 2.11.51 versiyalarından əvvəlki versiyalarda Traefik-in HTTP/3 (QUIC) TLS konfiqurasiyasının seçilməsində kritik zəiflik mövcuddur ki, bu da autentifikasiyadan keçməmiş müştərilərə router-ə xas mTLS tətbiqindən yan keçməyə imkan verir. Giriş nöqtəsində HTTP/3 aktiv olduqda, TLS əl sıxma SNI dəyəri üzrə dəqiq, hərf registrinə həssas axtarış vasitəsilə tətbiq olunan TLS konfiqurasiyasını seçir və bu, wildcard host şablonlarına (məs., *.example.com) və ya konfiqurasiya edilmiş hostname-in hərf registri variantlarına uyğun gəlmir. Əl sıxma defolt TLS konfiqurasiyasına keçdiyi üçün — ki, bu konfiqurasiya müştəri sertifikatlarını tələb etməyə bilər — müştəri sertifikat təqdim etmədən QUIC əl sıxmasını tamamlaya bilər, halbuki sonrakı HTTP marşrutlaşdırma qatı sorğunu yenə də router-ə xas mTLS siyasəti ilə qorunan backend-ə yönləndirir. Problem HTTP/3-ün aktiv olduğu, router-in wildcard Host qaydasından və ya hərf registrinə həssas olmayan hostname uyğunlaşdırmasından istifadə etdiyi, router-ə xas TLSOptions-un müştəri sertifikatı autentifikasiyasını tətbiq etdiyi və giriş nöqtəsinə UDP girişinin hücumçu üçün əlçatan olduğu yerləşdirmələrə təsir edir. Bu zəiflik 3.7.3, 3.6.18 və 2.11.51 versiyalarında düzəldilmişdir.