CVE-2026-50149

ŚrednieCVSS 6.5

Opublikowano: 19/08/2026(UTC)Przetłumaczono: 19/08/2026(UTC)NVD NIST

Streszczenie

Contour w wersjach od 1.23.0 do 1.33.4 zawiera podatność polegającą na tym, że gdy HTTPProxy jest skonfigurowany z niekompatybilną kombinacją .spec.virtualhost.tls.enableFallbackCertificate: true i .spec.virtualhost.jwtProviders, Contour nie odrzuca takiej konfiguracji. W rezultacie żądania od klientów, którzy nie wysyłają SNI lub wysyłają nierozpoznany SNI, omijają weryfikację JWT i są przekazywane do usług bez ważnego tokena. Problem jest naprawiony w Contour v1.33.5, który odrzuca i oznacza jako nieprawidłowe takie zasoby HTTPProxy.

Ocena ryzyka

Atakujący może ominąć weryfikację JWT i uzyskać dostęp do usług bez ważnego tokena, co może prowadzić do nieautoryzowanego dostępu do chronionych zasobów.

Rekomendacja

Zaktualizuj Contour do wersji 1.33.5 lub nowszej, która zawiera poprawki eliminujące podatność. Jako obejście, nie włączaj enableFallbackCertificate na zasobach HTTPProxy, które również definiują jwtProviders.

Oryginalny opis (angielski, źródło NVD)

Contour is a Kubernetes ingress controller using Envoy proxy. In versions 1.23.0 through 1.33.4, when an `HTTPProxy` is configured with incompatible combination of both `.spec.virtualhost.tls.enableFallbackCertificate: true` and `.spec.virtualhost.jwtProviders`, Contour does not reject the configuration. Consequently, requests from clients that do not send TLS SNI or send an unrecognized SNI (one that does not match any `HTTPProxy` FQDN) bypass configured JWT verification and are proxied to upstream services without a valid token. This issue is fixed in Contour v1.33.5. Contour now rejects and marks invalid any `HTTPProxy` resources that combine `.spec.virtualhost.tls.enableFallbackCertificate: true` with `.spec.virtualhost.jwtProviders`. Affected resources will receive a status condition with the error reason `TLSIncompatibleFeatures`. As a workaround, do not enable `.spec.virtualhost.tls.enableFallbackCertificate` on `HTTPProxy` resources that also define `.spec.virtualhost.jwtProviders`. Remove one of the two settings to avoid the invalid configuration.