CVE-2026-88878
Təsvir
Traefik HTTP tərs proksisi və yük balanslaşdırıcısıdır. v2.8.2 ilə v2.11.55 arasındakı versiyalarda və v3.0.0 ilə v3.7.11 arasındakı versiyalarda entryPoints.<name>.transport.respondingTimeouts parametrləri — xüsusilə standart olaraq 60 saniyəyə təyin edilmiş readTimeout — HTTP/3 sorğu yoluna tətbiq edilmir. readTimeout altda yatan TCP bağlantısında son möhlət (deadline) kimi tətbiq olunur ki, bu da QUIC axınına tətbiq edilə bilməz və Traefik-in HTTP/3 serveri heç bir vaxt məhdudiyyəti olmadan qurulmuşdur. Nəticədə, HTTP/3 aktiv olan giriş nöqtələrində, sorğu gövdəsinin baytlarını çox yavaş göndərən autentifikasiya olunmamış uzaq müştəri sorğunu qeyri-müəyyən müddətə açıq saxlaya bilər və bununla birlikdə hər sorğu üçün bir upstream bağlantısını tutaraq, məhdud backend bağlantı hovuzlarını tükəndirə və xidmətdən imtinaya səbəb ola bilər. Problem, quic-go API dəyişikliyi zamanı bu vaxt məhdudiyyətlərini daşıyan daxili http.Server-in silinməsi ilə v2.8.2 versiyasında ortaya çıxmışdır. v2.11.56 və v3.7.12 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- traefik traefik2.11.56, 3.7.12 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| traefik traefik | 2.8.2 ≤ v < 2.11.56, 3.0.0 ≤ v < 3.7.12 | 2.11.56, 3.7.12 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.