CVE-2026-88878
Açıklama
Traefik bir HTTP ters vekil sunucusu ve yük dengeleyicidir. v2.8.2 ile v2.11.55 arasındaki ve v3.0.0 ile v3.7.11 arasındaki sürümlerde, entryPoints.<name>.transport.respondingTimeouts ayarları —özellikle varsayılan olarak 60 saniyede etkin olan readTimeout— HTTP/3 istek yoluna uygulanmamaktadır. readTimeout, temel TCP bağlantısı üzerinde bir son tarih (deadline) olarak zorunlu kılınır; ancak bu durum bir QUIC akışına uygulanamaz ve Traefik'in HTTP/3 sunucusu herhangi bir zaman aşımı olmadan yapılandırılmıştır. Sonuç olarak, HTTP/3'ün etkin olduğu giriş noktalarında, istek gövdesi baytlarını çok yavaş gönderen kimliği doğrulanmamış uzak bir istemci, bir isteği süresiz olarak açık tutabilir ve bununla birlikte her istek için bir üst akış (upstream) bağlantısını meşgul ederek sınırlı arka uç bağlantı havuzlarını tüketebilir ve hizmet reddine (denial of service) neden olabilir. Sorun, quic-go API değişikliğinin bu zaman aşımlarını taşıyan yerleşik http.Server'ı kaldırmasıyla v2.8.2 sürümünde ortaya çıkmıştır. v2.11.56 ve v3.7.12 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- traefik traefik2.11.56, 3.7.12 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| traefik traefik | 2.8.2 ≤ v < 2.11.56, 3.0.0 ≤ v < 3.7.12 | 2.11.56, 3.7.12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.