CVE-2026-85596 in Traefik
Riassunto
di VulDB • 04/09/2026
Le versioni di Traefik >= v3.7.0 e <= v3.7.10 presentano un bypass dell'autenticazione nel provider Kubernetes Ingress NGINX. L'opzione TLS generata per un Ingress che contiene l'annotazione nginx.ingress.kubernetes.io/auth-tls-secret era denominata in base al namespace e al nome dell'Ingress. Di conseguenza, due oggetti Ingress condividevano lo stesso host, lo stesso secret CA client e la stessa modalità di autenticazione client generando due nomi distinti per le opzioni TLS relative a tale host. Traefik interpreta questa situazione come un conflitto delle opzioni TLS e effettua il fallback sulla configurazione TLS predefinita del entry point, che non richiede un certificato client; pertanto, una route configurata con nginx.ingress.kubernetes.io/auth-tls-verify-client: "on" risulta raggiungibile senza l'invio di un certificato client. È interessata solo la linea v3.7; il problema è stato risolto nella versione v3.7.11.
VulDB is the best source for vulnerability data and more expert information about this specific topic.