Traefik - CVE-2026-121966
Date de publication :
Il s’agit d’une vulnérabilité dans le middleware ForwardAuth de Traefik Proxy.
Traefik Proxy est un reverse proxy HTTP et un équilibreur de charge open source. Il route le trafic entrant vers des services et s’intègre notamment à Docker et à Kubernetes.
Il envoie ses sous-requêtes d’authentification via un pool de connexions partagé entre tous les clients. Cela concerne les serveurs d’authentification qui utilisent un schéma lié à la connexion, comme NTLM ou Negotiate (Kerberos), par exemple l’authentification Windows d’IIS. Un attaquant non authentifié réutilise la connexion déjà authentifiée d’un autre utilisateur et reçoit l’identité de la victime via authResponseHeaders. Dans la version 3.7, les requêtes auth-url du fournisseur Ingress NGINX sont aussi concernées.
Elle permet à un attaquant distant d’accéder aux services backend sous l’identité d’un autre utilisateur.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
• Contournement de la politique de sécurité
• Atteinte à la confidentialité des données
• Atteinte à l'intégrité des données
Exploitation
CWE-488 : Exposure of Data Element to Wrong Session
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Élevée
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
Traefik versions antérieures à 2.11.60 pour la branche 2.x
- Traefik versions 3.0.0 jusqu’à 3.6.x pour les branches 3.0 à 3.6, toutes en fin de vie
- Traefik versions 3.7.0 jusqu’à 3.7.15 pour la branche 3.7
Solutions ou recommandations
• Traefik versions 3.7.16 et supérieures pour la branche 3.7