CVE-2026-53622

Traefik bir HTTP ters vekil sunucusu ve yük dengeleyicidir. 3.7.3, 3.6.18 ve 2.11.51 öncesindeki sürümler, kimlik doğrulaması yapmamış istemcilerin yönlendiriciye özel mTLS zorunluluğunu atlatmasına izin veren, Traefik'in HTTP/3 (QUIC) TLS yapılandırma seçiminde kritik bir güvenlik açığına sahiptir. Bir giriş noktasında HTTP/3 etkinleştirildiğinde, TLS el sıkışması ilgili TLS yapılandırmasını SNI değeri üzerinden tam ve büyük/küçük harfe duyarlı bir aramayla seçer; bu durum joker karakterli ana bilgisayar desenleriyle (örneğin, *.example.com) veya yapılandırılmış ana bilgisayar adının farklı harf durumlarıyla eşleşmede başarısız olur. El sıkışma, istemci sertifikaları gerektirmeyebilen varsayılan TLS yapılandırmasına geri döndüğü için, bir istemci sertifika sunmadan QUIC el sıkışmasını tamamlayabilirken, sonraki HTTP yönlendirme katmanı isteği hala yönlendiriciye özel bir mTLS politikasıyla korunan bir arka uca iletir. Bu sorun; HTTP/3'ün etkin olduğu, bir yönlendiricinin joker karakterli Host kuralı veya büyük/küçük harfe duyarsız ana bilgisayar adı eşleştirmesi kullandığı, yönlendiriciye özel TLSOptions'ın istemci sertifikası kimlik doğrulamasını zorunlu kıldığı ve giriş noktasına UDP erişiminin saldırgan tarafından ulaşılabilir olduğu dağıtımları etkiler. Bu güvenlik açığı 3.7.3, 3.6.18 ve 2.11.51 sürümlerinde giderilmiştir.