CVE-2026-88010
Təsvir
Traefik açıq mənbəli HTTP tərs proksi və yük balanslaşdırıcısıdır. 3.6.11 versiyasından 3.7.13 versiyasına qədər, pkg/middlewares/auth/basic_auth.go faylındakı checkPassword funksiyası BasicAuth singleflight açarını təqdim edilmiş şifrə və saxlanılan sirrdən qurur. Buna görə də, mövcud olmayan istifadəçi adları üçün eyni vaxtda gələn sorğular bir açarda birləşir, konfiqurasiya edilmiş istifadəçi adları isə ayrı-ayrı şifrə heşləri yerinə yetirir; bu da istifadəçi adının mövcud olub-olmadığını aşkar edən autentifikasiya olunmamış zaman fərqi (timing discrepancy) yaradır. Ardıcıl yoxlamalar xərc baxımından bərabər qalır, Traefik v2 və Digest autentifikasiyası buna təsir etmir, həmçinin problem etibarlılıq məlumatlarını ifşa etmir və ya autentifikasiyadan yan keçmir. Bu problem 3.7.13 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- Traefik3.7.13 və ya daha yeni versiya
- traefik traefik3.7.13 və ya daha yeni versiya
- github.com/traefik/traefik/v33.7.13 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| TraefikGo | 3.6.11 ≤ v < 3.7.13 | 3.7.13 |
| github.com/traefik/traefikGo | Aralıq göstərilməyib, 0 < v | — |
| traefik traefik | 3.6.11 ≤ v < 3.7.13 | 3.7.13 |
| github.com/traefik/traefik/v3Go | 3.6.11 ≤ v ≤ 3.7.12 | 3.7.13 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.