PT-2026-7873
CVE-2026-25949
·
تاريخ النشر
2026-02-12
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Traefik الأقدم من 3.6.8
الوصف
يحتوي Traefik، وهو وكيل HTTP عكسي وموزع تحميل، على ثغرة في طريقة إدارته لطلبات STARTTLS. يمكن لعميل غير مصدق تجاوزه الإعداد
respondingTimeouts.readTimeout عن طريق إرسال مقدمة SSLRequest (STARTTLS) من PostgreSQL بحجم 8 بايت، ثم تعطيل الاتصال. يؤدي ذلك إلى بقاء الاتصالات مفتوحة إلى أجل غير مسمى، مما يؤدي إلى رفض الخدمة. يحدث هذا الخلل أثناء اكتشاف البروتوكول قبل التوجيه، ويمكن الوصول إليه من خلال نقطة دخول حتى في حالة عدم تكوين أي موجه Postgres/TCP. يمكن للمهاجم إرسال طلب SSLRequest الخاص بـ PostgreSQL، وتلقي استجابة من Traefik، ثم التوقف عن إرسال المزيد من البايتات، مما يبقي الاتصال مفتوحًا لفترة أطول من مهلة القراءة المحددة. يؤدي ذلك إلى استهلاك مؤشرات الملفات و«goroutines»، مما قد يستنفد موارد النظام ويجعل الوكيل غير متاح.التوصيات
قم بالتحديث إلى الإصدار 3.6.8 أو أحدث من Traefik لحل هذه المشكلة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾