Podatności Traefik

W Traefiku przed wersjami 2.11.38 i 3.6.9 wykryto podatność w zarządzaniu uzgadnianiem TLS na routerach TCP. Nieuwierzytelniony atakujący może wysłać niekompletny rekord TLS i zatrzymać transmisję, powodując zawieszenie uzgadniania i otwarcie połączenia na czas nieokreślony.

Podatność w Traefik przed wersją 3.6.8 umożliwia nieuwierzytelnionemu klientowi ominięcie limitu czasu odczytu (readTimeout) poprzez wysłanie 8-bajtowego preludium Postgres SSLRequest (STARTTLS), a następnie wstrzymanie transmisji. Powoduje to pozostawanie połączeń otwartych w nieskończoność, prowadząc do odmowy usługi (DoS).

Traefik w wersjach 3.5.0–3.6.2 ma odwróconą logikę weryfikacji TLS w adnotacji nginx.ingress.kubernetes.io/proxy-ssl-verify. Ustawienie adnotacji na "on" (w celu włączenia weryfikacji certyfikatu backendu) faktycznie wyłącza weryfikację. Pozwala to na ataki man-in-the-middle na backendy HTTPS, gdy operatorzy sądzą, że są chronieni. Problem naprawiono w wersji 3.6.3.

Traefik, będący odwrotnym proxy HTTP i load balancerem, w wersjach przed 2.11.32 oraz od 2.11.31 do 3.6.2 pozwala na obejście normalizacji ścieżek przy użyciu matcherów PathPrefix, Path lub PathRegex. Żądania zawierające zakodowane w URL znaki specjalne (/, \, Null, ;, ?, #) mogą ominąć łańcuch middleware i dotrzeć do nieprzewidzianych backendów. Problem naprawiono w wersjach 2.11.32 i 3.6.3.