CVE-2026-65602
Açıklama
Traefik 3.6.0 ile 3.6.22 ve 3.7.0 ile 3.7.6 arasındaki sürümler, IngressRouteTCP servisinin serversTransport referansları için crossProviderNamespaces izinli listesini uygulamada başarısız olmaktadır (izinli liste yalnızca HTTP serversTransport referansları için uygulanmaktaydı). crossProviderNamespaces listesinde yer almayan bir ad alanındaki düşük yetkili bir Kubernetes kullanıcısı, bir IngressRouteTCP servisinde serversTransport: foo@file ayarını yapabilir; bu durum Traefik'in yasaklanmış çapraz sağlayıcı referansını kabul etmesine ve ayrıcalıklı arka uç mTLS istemci sertifikaları, SPIFFE kimliği veya PROXY-protokolü ayarları dahil olmak üzere bir dosya sağlayıcı TCPServersTransport kullanmasına neden olur. Bu sorun 3.6.23 ve 3.7.7 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- traefik traefik3.6.23, 3.7.7 ya da sonraki bir sürüm
- github.com/traefik/traefik/v33.6.23, 3.7.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| traefik traefik | 3.6.0 ≤ v < 3.6.23, 3.7.0 ≤ v < 3.7.7 | 3.6.23, 3.7.7 |
| github.com/traefik/traefik/v3Go | 3.6.0 ≤ v < 3.6.23, 3.7.0 ≤ v < 3.7.7 | 3.6.23, 3.7.7 |
| github.com/traefik/traefikGo | Aralık belirtilmemiş | — |
| github.com/traefik/traefik/v2Go | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.