CVE-2026-41263
Açıklama
Traefik bir HTTP ters vekil sunucusu ve yük dengeleyicidir. 2.11.43, 3.6.14 ve 3.7.0-rc.2 versiyonlarından öncekilerde, Traefik'in BasicAuth ara yazılımında, bir saldırganın yanıt süresi farkları aracılığıyla geçerli kullanıcı adlarını tespit etmesine olanak tanıyan bir zamanlama yan kanal zafiyeti bulunmaktadır. Sabit zamanlı yedek gizli bilgiyi tutmak için tasarlanan değişken her zaman boş bir dizeye çözümlenmekte, bu da sabit zamanlı karşılaştırmanın tam bir bcrypt değerlendirmesi yapmak yerine mikrosaniyeler içinde kısa devre yapmasına neden olmaktadır. Bu durum orijinal zamanlama orakelini geri getirerek kimlik doğrulama yanıt sürelerini ölçerek mevcut kullanıcıların mevcut olmayanlardan ayırt edilmesini mümkün kılar. Bu sorun 2.11.43, 3.6.14 ve 3.7.0-rc.2 versiyonlarında düzeltilmiştir.
Nasıl düzeltilir
- traefik traefik2.11.43, 3.6.14 ya da sonraki bir sürüm
- github.com/traefik/traefik/v33.7.0-rc.2, 3.6.14 ya da sonraki bir sürüm
- github.com/traefik/traefik/v22.11.43 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| traefik traefik | v < 2.11.43, 3.0.0 ≤ v < 3.6.14, 3.7.0 | 2.11.43, 3.6.14 |
| github.com/traefik/traefik/v3Go | 3.7.0-ea.1 ≤ v < 3.7.0-rc.2, 3.0.0-beta1 ≤ v < 3.6.14 | 3.7.0-rc.2, 3.6.14 |
| github.com/traefik/traefik/v2Go | v < 2.11.43 | 2.11.43 |
| github.com/traefik/traefikGo | v ≤ 1.7.34, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.