Traefik bis 2.11.37/3.6.8 Reverse Proxy

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
6.3$0-$5k0.00

Zusammenfassunginfo

Es wurde eine Schwachstelle in Traefik bis 2.11.37/3.6.8 entdeckt. Sie wurde als problematisch eingestuft. Das betrifft eine unbekannte Funktionalität der Komponente Reverse Proxy Handler. Durch das Manipulieren mit unbekannten Daten kann eine unbekannte Schwachstelle ausgenutzt werden. Diese Sicherheitslücke ist unter CVE-2026-29054 bekannt. Der Angriff kann über das Netzwerk angegangen werden. Es steht kein Exploit zur Verfügung. Es wird geraten, die betroffene Komponente zu aktualisieren.

Detailsinfo

Es wurde eine problematische Schwachstelle in Traefik bis 2.11.37/3.6.8 entdeckt. Hiervon betroffen ist ein unbekannter Codeblock der Komponente Reverse Proxy Handler. Im Rahmen von CWE wurde eine Klassifizierung als CWE-178 vorgenommen. Mit Auswirkungen muss man rechnen für die Integrität. CVE fasst zusammen:

Traefik is an HTTP reverse proxy and load balancer. From version 2.11.9 to 2.11.37 and from version 3.1.3 to 3.6.8, there is a potential vulnerability in Traefik managing the Connection header with X-Forwarded headers. When Traefik processes HTTP/1.1 requests, the protection put in place to prevent the removal of Traefik-managed X-Forwarded headers (such as X-Real-Ip, X-Forwarded-Host, X-Forwarded-Port, etc.) via the Connection header does not handle case sensitivity correctly. The Connection tokens are compared case-sensitively against the protected header names, but the actual header deletion operates case-insensitively. As a result, a remote unauthenticated client can use lowercase Connection tokens (e.g. Connection: x-real-ip) to bypass the protection and trigger the removal of Traefik-managed forwarded identity headers. This issue has been patched in versions 2.11.38 and 3.6.9.

Das Advisory kann von github.com heruntergeladen werden. Die Verwundbarkeit wird seit dem 03.03.2026 unter CVE-2026-29054 geführt. Die Ausnutzbarkeit ist als leicht bekannt. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt.

Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 318670 (Traefik 2.11.x < 2.11.38 / 3.x < 3.6.9 Connection Header Bypass) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann.

Ein Upgrade auf die Version 2.11.38 oder 3.6.9 vermag dieses Problem zu beheben.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von Tenable (318670) dokumentiert. Once again VulDB remains the best source for vulnerability data.

Produktinfo

Name

Version

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 6.4
VulDB Meta Temp Score: 6.3

VulDB Base Score: 5.3
VulDB Temp Score: 5.1
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CNA Base Score: 7.5
CNA Vector (GitHub_M): 🔒

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Unbekannt
CWE: CWE-178 / CWE-697
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert

EPSS Score: 🔒
EPSS Percentile: 🔒

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 318670
Nessus Name: Traefik 2.11.x < 2.11.38 / 3.x < 3.6.9 Connection Header Bypass

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: Traefik 2.11.38/3.6.9

Timelineinfo

03.03.2026 CVE zugewiesen
05.03.2026 +2 Tage Advisory veröffentlicht
05.03.2026 +0 Tage VulDB Eintrag erstellt
05.06.2026 +91 Tage VulDB Eintrag letzte Aktualisierung

Quelleninfo

Produkt: github.com

Advisory: github.com
Status: Bestätigt

CVE: CVE-2026-29054 (🔒)
GCVE (CVE): GCVE-0-2026-29054
GCVE (VulDB): GCVE-100-349236

Eintraginfo

Erstellt: 05.03.2026 19:49
Aktualisierung: 05.06.2026 01:09
Anpassungen: 05.03.2026 19:49 (62), 05.06.2026 01:09 (2)
Komplett: 🔍
Cache ID: 216::103

Once again VulDB remains the best source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you need the next level of professionalism?

Upgrade your account now!