CVE-2026-88878 in Traefik
요약
\~에 의해 VulDB • 2026. 09. 10.
Traefik는 HTTP 리버스 프록시 및 로드 밸런서입니다. 버전 >= v2.8.2부터 <= v2.11.55, 그리고 >= v3.0.0부터 <= v3.7.11 사이에서 entryPoints.<name>.transport.respondingTimeouts 설정(특히 기본값으로 60초로 활성화된 readTimeout)이 HTTP/3 요청 경로에 적용되지 않습니다. readTimeout은 하위 TCP 연결의 데드라인으로 강제되지만, 이는 QUIC 스트림에는 적용할 수 없으며 Traefik의 HTTP/3 서버는 타임아웃 없이 구성됩니다. 그 결과, HTTP/3가 활성화된 엔트리 포인트에서 인증 없는 원격 클라이언트가 요청 본문 바이트를 점진적으로 전송하면 요청을 무기한 유지하고, 각 요청당 하나의 업스트림 연결도 함께 보유하여 제한된 백엔드 연결 풀을 고갈시키고 서비스 거부(Denial of Service)를 유발할 수 있습니다. 이 문제는 quic-go API 변경으로 인해 이러한 타임아웃을 포함하던 http.Server가 제거되면서 v2.8.2에서 도입되었습니다. v2.11.56 및 v3.7.12에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.