CVE-2026-44774
Açıklama
Traefik bir HTTP ters vekil sunucusu ve yük dengeleyicidir. 2.11.46, 3.6.17 ve 3.7.1 sürümlerinden önce, Traefik'in Kubernetes Gateway API sağlayıcısı, HTTPRoute oluşturma izinlerine sahip bir kiracının providers.rest.insecure=false ayarını atlayarak REST sağlayıcı işleyicisini dışarı açmasına izin verir. Gateway sağlayıcısı, adı @internal ile biten herhangi bir TraefikService arka uç referansını kabul ederek trafiğin hedeflenen api@internal'a ek olarak rest@internal'a yönlendirilmesini mümkün kılar. REST sağlayıcısının etkin olduğu paylaşımlı Gateway dağıtımlarında bu durum, düşük yetkili bir aktörün Traefik üzerinde canlı dinamik yapılandırma yazma erişimi elde etmesine olanak tanıyarak yönlendiricilerin ve servislerin yetkisiz yeniden yapılandırılmasını sağlar. Bu güvenlik açığı 2.11.46, 3.6.17 ve 3.7.1 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- traefik traefik2.11.46, 3.6.17, 3.7.1 ya da sonraki bir sürüm
- github.com/traefik/traefik/v33.7.1, 3.6.17 ya da sonraki bir sürüm
- github.com/traefik/traefik/v22.11.46 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| traefik traefik | v < 2.11.46, 3.0.0 ≤ v < 3.6.17, 3.7.0 ≤ v < 3.7.1 | 2.11.46, 3.6.17, 3.7.1 |
| github.com/traefik/traefik/v3Go | 3.7.0 ≤ v < 3.7.1, v < 3.6.17 | 3.7.1, 3.6.17 |
| github.com/traefik/traefik/v2Go | v < 2.11.46 | 2.11.46 |
| github.com/traefik/traefikGo | v ≤ 1.7.34, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.