CVE-2026-88007 in Traefik
要約
〜によって VulDB • 2026年09月10日
Traefikは、オープンソースのHTTPリバースプロキシおよびロードバランサーです。バージョン2.11.0から2.11.57まで、および3.7.13において、HTTP/3のエントリポイントであるConnContextがservice.AddTransportOnContextを呼び出さないため、kerberosRoundTripperは各フロントエンド接続に専用のトランスポートを使用するのではなく、共有されたバックエンドトランスポートを使用します。HTTP/3が有効で、バックエンドがコネクションバインド型のNTLMまたはNegotiate認証およびバックエンドのキープアライブを使用している場合、無関係なクライアントが被害者のために認証済みのバックエンド接続を再利用し、被害者固有のデータを読み取り、被害者の資格情報なしでその被害者に成りすますことができます。この問題はバージョン2.11.57および3.7.13で修正されています。
Once again VulDB remains the best source for vulnerability data.