CVE-2026-88877 in Traefik
요약
\~에 의해 VulDB • 2026. 09. 10.
Traefik는 HTTP 리버스 프록시 및 로드 밸런서입니다. 버전 >= v3.7.0이고 <= v3.7.11인 경우, Kubernetes ingress-nginx 프로바이더가 인증 어노테이션과 nginx.ingress.kubernetes.io/from-to-www-redirect 어노테이션을 모두 포함하는 Ingress를 잘못 처리합니다. 이러한 Ingress의 경우 프로바이더는 호스트만으로 매칭되는 추가적인 '형제' 라우터를 생성하며, RedirectRegex 미들웨어만 보유하고 여전히 부모 라우터의 보호된 백엔드 서비스를 가리킵니다. RedirectRegex는 터미널 핸들이 아니므로 패턴에 일치하지 않는 요청은 백엔드로 전달되며, 리디렉션 패턴이 숫자 포트만 허용하는 반면 Traefik의 호스트 매처는 net.SplitHostPort를 통해 권한(authority)을 정규화하므로, 비숫자 또는 빈 포트를 가진 요청(예: 'Host: www.example.com:x')은 형제 라우터를 선택하고 리디렉션을 건너뛰며 보호된 백엔드로 프록시됩니다. 이 과정에서 Ingress의 어노테이션에서 파생된 모든 미들웨어가 적용되지 않습니다. 여기에는 인증(BasicAuth 등)뿐만 아니라 소스 IP 허용 목록(source-IP allowlisting)을 포함한 모든 어노테이션 기반 미들웨어가 포함됩니다. Traefik v2 및 v3 릴리스 중 v3.7.0 이전 버전은 영향을 받지 않습니다. 이 문제는 v3.7.12에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.