CVE-2026-41174
Açıklama
Traefik bir HTTP ters vekil sunucusu ve yük dengeleyicidir. 2.11.43, 3.6.14 ve 3.7.0-rc.2 versiyonlarından önce, Traefik'in Kubernetes CRD sağlayıcısının ad alanı arası izolasyon zorunluluğunda potansiyel bir güvenlik açığı bulunmaktadır. providers.kubernetesCRD.allowCrossNamespace=false olduğunda, Traefik, IngressRoute nesnelerinden gelen doğrudan ad alanı arası middleware referanslarını doğru şekilde reddeder ancak aynı kısıtlamayı bir Chain middleware'inin spec.chain.middlewares[] kısmında iç içe geçmiş middleware referanslarına uygulamada başarısız olur. Kendi ad alanında Traefik CRD'leri oluşturma veya güncelleme yetkisine sahip bir aktör, bunu kullanarak Traefik'in başka bir ad alandaki middleware nesnelerini çözümlemesini ve uygulamasını sağlayabilir ve böylece belgelenmiş izolasyon sınırını atlatabilir. Bu sorun 2.11.43, 3.6.14 ve 3.7.0-rc.2 versiyonlarında düzeltilmiştir.
Nasıl düzeltilir
- traefik traefik2.11.43, 3.6.14 ya da sonraki bir sürüm
- github.com/traefik/traefik/v33.7.0-rc.2, 3.6.14 ya da sonraki bir sürüm
- github.com/traefik/traefik/v22.11.43 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| traefik traefik | v < 2.11.43, 3.0.0 ≤ v < 3.6.14, 3.7.0 | 2.11.43, 3.6.14 |
| github.com/traefik/traefik/v3Go | 3.7.0-ea.1 ≤ v < 3.7.0-rc.2, 3.0.0-beta1 ≤ v < 3.6.14 | 3.7.0-rc.2, 3.6.14 |
| github.com/traefik/traefik/v2Go | v < 2.11.43 | 2.11.43 |
| github.com/traefik/traefikGo | v ≤ 1.7.34, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.