CVE-2026-65602 in Traefik
要約
〜によって VulDB • 2026年07月22日
Traefik 3.6.0 から 3.6.22、および 3.7.0 から 3.7.6 では、IngressRouteTCP サービスの serversTransport リファレンスに対して crossProviderNamespaces の許可リストが適用されません（この許可リストは HTTP サーバーの serversTransport リファレンスの場合にのみ適用されていました）。crossProviderNamespaces に記載されていない名前空間に属する低権限の Kubernetes ユーザーは、IngressRouteTCP サービスで serversTransport: foo@file を設定でき、これにより Traefik は禁止されたプロバイダー間リファレンスを許可し、ファイルプロバイダ TCPServersTransport（特権付きバックエンド mTLS 証明書、SPIFFE ID、または PROXY-protocol 設定を含む）を使用するようになります。この問題は 3.6.23 および 3.7.7 で修正されています。
Once again VulDB remains the best source for vulnerability data.