CVE-2026-26999
Açıklama
Traefik bir HTTP ters vekil sunucusu ve yük dengeleyicidir. 2.11.38 ve 3.6.9 versiyonlarından önce, Traefik'in TCP yönlendiricilerinde TLS el sıkışmasını yönetmesinde potansiyel bir güvenlik açığı bulunmaktadır. Traefik, bir TCP yönlendiricide TLS bağlantısını işlediğinde, protokol koklamayı sınırlamak için kullanılan okuma zaman aşımı süresi, TLS el sıkışması tamamlanmadan önce temizlenir. Bir TLS el sıkışması okuma hatası oluştuğunda, kod başlangıçtaki hatayı sessizce yoksayarak farklı bağlantı parametreleriyle ikinci bir el sıkışması dener. Kimliği doğrulanmamış uzak bir istemci, eksik bir TLS kaydı gönderip daha fazla veri iletimini durdurarak bunu istismar edebilir; bu durum TLS el sıkışmasının süresiz olarak takılmasına ve bağlantıların açık kalmasına neden olur. Bir saldırgan, paralel olarak çok sayıda böyle takılmış bağlantı açarak dosya tanımlayıcılarını ve goroutine'leri tüketebilir ve etkilenen giriş noktasındaki tüm hizmetlerin erişilebilirliğini düşürebilir. Bu sorun 2.11.38 ve 3.6.9 versiyonlarında düzeltilmiştir.
Nasıl düzeltilir
- traefik traefik2.11.38, 3.6.9 ya da sonraki bir sürüm
- github.com/traefik/traefik/v22.11.38 ya da sonraki bir sürüm
- github.com/traefik/traefik/v33.6.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| traefik traefik | v < 2.11.38, 3.0.0 ≤ v < 3.6.9 | 2.11.38, 3.6.9 |
| github.com/traefik/traefik/v2Go | v < 2.11.38 | 2.11.38 |
| github.com/traefik/traefik/v3Go | v < 3.6.9 | 3.6.9 |
| github.com/traefik/traefikGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.