CVE-2026-88879 in Traefik
要約
〜によって VulDB • 2026年09月10日
TraefikはHTTPリバースプロキシおよびロードバランサーです。Traefik v1.x、v2.x（v2.11.55まで）、およびv3.0.0〜v3.7.11では、ヘッダー名のカノニカライズがダッシュに対してのみ行われるため、X-Auth-User、X_Auth_User、X.Auth.UserはTraefikによって3つの異なるヘッダーとして扱われます。一方、ヘッダー名から変数名を派生させるバックエンド（CGI、WSGI、PHP、NGINXなど）ではこれらが1つの変数に結合されます。そのため、クライアントは、ミドルウェアが管理するヘッダーのドット形式エイリアスを、そのミドルウェアを迂送して送り込むことができます。例えば、ForwardAuthミドルウェアによって書き込まれる正規のX-Authenticated-User alongside X.Authenticated.Userを送信することで、バックエンドにTraefikが主張したIDではなく、クライアントから提供された値を読み取らせることが可能です。テスト済みの構成（HTTP/1バックエンドパス上のPHP 8.2組み込みSAPI）では、Goのレキシカルなヘッダー順序付けにより攻撃者が指定した値が決定的に優先されるため、ForwardAuthによって低権限IDとして承認されたクライアントが、バックエンド側で別のユーザーまたはロールとして扱われる可能性があります。影響を受けるのはForwardAuthだけでなくTraefikが設定するすべてのヘッダーです。これはGHSA-x677-9fxg-v5c5に対する不完全な修正であり、同CVEではアンダースコア形式のみがブロックされていました。v2.11.56およびv3.7.12で修正されており、これらはaliasHeadersStrategyエントリポイントオプションを追加します。後方互換性のためデフォルトは'keep'に設定されているため、修正を有効にするには明示的に'delete'または'reject'に設定する必要があります。メンテナンス終了済みのリリースラインにはパッチが提供されません。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.