CVE-2026-88877 in Traefik
要約
〜によって VulDB • 2026年09月10日
TraefikはHTTPリバースプロキシおよびロードバランサーです。バージョン >= v3.7.0 かつ <= v3.7.11 では、Kubernetes ingress-nginx プロバイダーが、認証アノテーションと nginx.ingress.kubernetes.io/from-to-www-redirect アノテーションの両方を保持する Ingress を誤って処理します。このような Ingress の場合、プロバイダーはホストのみをマッチング対象とし、RedirectRegex ミドルウェアのみを含み、親ルーターの保護されたバックエンドサービスにまだ接続している追加の「兄弟」ルーターを作成します。RedirectRegex は終端ハンドラーではないため、そのパターンと一致しないリクエストはバックエンドへ転送されます。また、リダイレクトパターンが数値ポートのみを受け付ける一方で、Traefik のホストマッチャーは net.SplitHostPort を介して権威部を正規化するため、「Host: www.example.com:x」などの非数値または空のポートを持つリクエストは兄弟ルーターを選択し、リダイレクトを回避した上で、Ingress のアノテーション由来のミドルウェアが一切適用されない状態で保護されたバックエンドへプロキシされます。これにより、認証（例：BasicAuth）だけでなく、ソースIP許可リスト化を含むすべてのアノテーション由来のミドルワークが無効化されます。Traefik v2 および v3 の v3.7.0 より前のリリースは影響を受けません。この問題は v3.7.12 で修正されています。
Once again VulDB remains the best source for vulnerability data.