Traefik - CVE-2026-114639
Date de publication :
Il s’agit d’une vulnérabilité dans la gestion des connexions backend NTLM et Kerberos (Negotiate) de Traefik.
Traefik Proxy est un reverse proxy et un répartiteur de charge open source, écrit en Go. Il route le trafic reçu vers des services backend. Il s’intègre aux environnements conteneurisés et Kubernetes.
La première requête de chaque connexion frontale passe par un pool de connexions partagé et n’est isolée qu’après un défi NTLM/Negotiate du backend. Un client qui envoie directement un jeton Authorization: Negotiate valide fait authentifier un socket du pool partagé, qui n’est ni vidé ni fermé. L’exploitation exige un backend NTLM/Negotiate lié à la connexion, avec réutilisation des connexions activée. Un attaquant non authentifié, sur une autre connexion frontale, reçoit ce socket et agit avec l’identité de la victime.
Elle permet un contournement de l’authentification avec des lectures et écritures au nom de la victime.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Contournement de la politique de sécurité
Exploitation
CWE-287
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Élevée
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
Traefik Proxy branche 2.11.x versions 2.11.0 jusqu’à 2.11.57
- Traefik Proxy branche 3.7.x versions 3.7.13 et antérieures
- Traefik Proxy branches 3.0.x à 3.6.x versions en fin de vie, également affectées
Solutions ou recommandations
• Traefik Proxy branche 3.7.x : versions 3.7.14 et supérieures
• Traefik Proxy branches 3.0.x à 3.6.x : aucun correctif sur leur branche, mise à niveau vers les versions 3.7.14 et supérieures