CVE-2026-26998
Açıklama
Traefik bir HTTP ters vekil sunucusu ve yük dengeleyicidir. 2.11.38 ve 3.6.9 versiyonlarından önce, Traefik'in ForwardAuth ara yazılım yanıtlarını yönetmesinde potansiyel bir güvenlik açığı bulunmaktadır. Traefik, ForwardAuth ara yazılımını kullanacak şekilde yapılandırıldığında, kimlik doğrulama sunucusundan gelen yanıt gövdesi herhangi bir boyut sınırı olmaksızın tamamen belleğe okunur. Kimlik doğrulama sunucusu yanıtından okunan veri miktarını kısıtlayacak bir maxResponseBodySize yapılandırması mevcut değildir. Kimlik doğrulama sunucusu beklenmedik derecede büyük veya sınırsız bir yanıt gövdesi döndürürse, Traefik sınırsız bellek tahsis eder ve bu durum işlemin çökmesine neden olan bir bellek yetersizliği (OOM) durumuna yol açabilir. Bu durum, etkilenen Traefik örneği tarafından sunulan tüm rotalar için hizmet reddine (DoS) neden olur. Bu sorun 2.11.38 ve 3.6.9 versiyonlarında düzeltilmiştir.
Nasıl düzeltilir
- traefik traefik2.11.38, 3.6.9 ya da sonraki bir sürüm
- github.com/traefik/traefik/v22.11.38 ya da sonraki bir sürüm
- github.com/traefik/traefik/v33.6.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| traefik traefik | v < 2.11.38, 3.0.0 ≤ v < 3.6.9 | 2.11.38, 3.6.9 |
| github.com/traefik/traefik/v2Go | v < 2.11.38 | 2.11.38 |
| github.com/traefik/traefik/v3Go | v < 3.6.9 | 3.6.9 |
| github.com/traefik/traefikGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.