CVE-2026-32305

إصدارات Traefik 2.11.40 وما دونها

إصدارات Traefik من 3.0.0-beta1 حتى 3.6.11

إصدار Traefik 3.7.0-ea.1

Traefik، وهو وكيل عكسي لـ HTTP وموازن تحميل، معرض لخطر تجاوز بروتوكول TLS المتبادل (mTLS). يحدث هذا بسبب ثغرة في منطق الاستشعار المسبق لـ SNI في TLS عند معالجة حزم ClientHello المجزأة. عندما تكون حزمة TLS ClientHello مجزأة، قد يفشل استخراج SNI في Traefik، مما يؤدي إلى الرجوع إلى تكوين TLS افتراضي لا يتطلب شهادات العميل. وهذا يسمح للمهاجم بالالتفاف على فرض mTLS على مستوى المسار والوصول إلى الخدمات التي من المفترض أن تكون محمية بمصادقة TLS المتبادلة. تنشأ المشكلة من عدم تطابق بين الوقت الذي يحدد فيه Traefik سياسة TLS لكل مضيف والوقت الذي يقوم فيه Go TLS بتحليل حزمة ClientHello الكاملة. وعلى وجه التحديد، لا يطلع منطق الاستشعار المسبق إلا على جزء محدود من حزمة ClientHello المجزأة، مما قد يؤدي إلى فقدان SNI واللجوء تلقائيًا إلى تكوين متساهل.

إصدارات Traefik السابقة للإصدار 2.11.41 معرضة للخطر.

إصدارات Traefik من 3.0.0-beta1 حتى 3.6.11 معرضة للخطر.

إصدار Traefik 3.7.0-ea.1 معرض للخطر.