CVE-2024-45410
Açıklama
Traefik, golang ile yazılmış bir Cloud Native Application Proxy'dir. Bir HTTP isteği Traefik tarafından işlendiğinde, istek uygulamaya yönlendirilmeden önce X-Forwarded-Host veya X-Forwarded-Port gibi belirli HTTP başlıkları Traefik tarafından eklenir. Bir HTTP istemcisinin bu başlıkları kaldırması veya değiştirmesi mümkün olmamalıdır. Uygulama bu başlıkların değerine güvendiğinden, bunların değiştirilebilmesi durumunda güvenlik etkileri ortaya çıkabilir. Ancak HTTP/1.1 için, bu özel başlıkların bazılarının gerçekten kaldırılabildiği ve belirli durumlarda manipüle edilebildiği tespit edilmiştir. Saldırı, başlıkların HTTP Connection başlığı aracılığıyla sekmeden sekmeye (hop-by-hop) tanımlanabildiği HTTP/1.1 davranışına dayanmaktadır. Bu sorun 2.11.9 ve 3.1.3 sürüm yayınlarında giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu zafiyet için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- traefik traefik2.11.9, 3.1.3 ya da sonraki bir sürüm
- github.com/traefik/traefik/v33.1.3 ya da sonraki bir sürüm
- github.com/traefik/traefik/v22.11.9 ya da sonraki bir sürüm
- github.com/traefik/traefik2.11.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| traefik traefik | v < 2.11.9, 3.0.0 ≤ v < 3.1.3 | 2.11.9, 3.1.3 |
| github.com/traefik/traefik/v3Go | 3.0.0-beta3 ≤ v < 3.1.3 | 3.1.3 |
| github.com/traefik/traefik/v2Go | v < 2.11.9 | 2.11.9 |
| github.com/traefik/traefikGo | v < 2.11.9, Aralık belirtilmemiş | 2.11.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.