James-Yusuke

**Nome do Software Vulnerável e Versões Afetadas** Traefik versões 3.7.0 até 3.7.10 **Descrição** Existe uma falha de bypass de autenticação no provedor Kubernetes Ingress NGINX. Quando um Ingress utiliza a anotação `nginx.ingress.kubernetes.io/auth-tls-secret`, a opção TLS gerada é nomeada com base no namespace e no nome do Ingress. Se dois objetos Ingress compartilharem o mesmo host, o mesmo segredo de CA do cliente e o mesmo modo de autenticação de cliente, eles produzirão nomes de opções TLS distintos. O Traefik interpreta isso como um conflito de opções TLS e retorna para a configuração TLS padrão do ponto de entrada, que não solicita um certificado de cliente. Consequentemente, rotas configuradas com `nginx.ingress.kubernetes.io/auth-tls-verify-client: "on"` tornam-se acessíveis sem um certificado de cliente. **Recomendações** Atualizar para a versão 3.7.11.

**Nome do Software Vulnerável e Versões Afetadas** Traefik versões anteriores a 2.11.55 **Description** Um problema de resolução de conflitos de opções TLS permite que atacantes não autenticados ignorem a autenticação de certificado de cliente em roteadores de múltiplos hosts. Ao criar opções TLS conflitantes em vários nomes de host dentro de uma única regra de roteador, a exigência rigorosa de mTLS (TLS mútuo, um processo onde cliente e servidor se autenticam mutuamente) retorna às opções padrão para todos os hosts, permitindo o acesso a backends protegidos. **Recommendations** Atualize para a versão 2.11.55 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Traefik versões 3.6.0 through 3.6.22 Traefik versões 3.7.0 through 3.7.6 **Description** O Traefik falha ao aplicar a lista de permissões `crossProviderNamespaces` para referências de `serversTransport` do serviço `IngressRouteTCP`, pois a lista de permissões era aplicada apenas a referências HTTP. Um usuário do Kubernetes com baixos privilégios em um namespace não incluído na lista `crossProviderNamespaces` pode configurar `serversTransport: foo@file` em um serviço `IngRouteTCP`. Isso faz com que o Traefik aceite uma referência de provedor cruzado proibida e utilize um `TCPServersTransport` de provedor de arquivo, incluindo certificados de cliente mTLS de backend privilegiados, identidade SPIFFE ou configurações de protocolo PROXY. **Recommendations** Atualizar as versões 3.6.0 through 3.6.22 do Traefik para a versão 3.6.23. Atualizar as versões 3.7.0 through 3.7.6 do Traefik para a versão 3.7.7.