Vvvvvvvvvvel

Um problema de falha aberta (fail-open) de autenticação existe no provedor Kubernetes Ingress NGINX. Quando um Ingress habilita explicitamente BasicAuth ou DigestAuth usando as anotações `nginx.ingress.kubernetes.io/auth-type` e `nginx.ingress.kubernetes.io/auth-secret`, mas o Secret de autenticação referenciado está ausente, malformado, ilegível ou negado por política, o sistema não consegue aplicar os controles de segurança necessários. Em vez de bloquear o acesso, o Traefik registra o erro de resolução, ignora a instalação do middleware de autenticação e ainda assim cria um roteador para o serviço de backend. Isso permite o acesso não autenticado a serviços de backend que os operadores pretendiam proteger.

Existe um problema no provedor Kubernetes Gateway relacionado à lista de permissões `crossProviderNamespaces`. Quando as regras `HTTPRoute` declaram múltiplos backendRefs (Weighted Round Robin), o sistema avalia a lista de permissões em relação ao `backendRef.namespace` de destino, em vez do namespace da própria rota. Isso permite que um `HTTPRoute` criado em um namespace não permitido referencie componentes internos `TraefikService` de provedores cruzados, como `api@internal`, `dashboard@internal` ou `rest@internal`, apontando o `backendRef.namespace` para um namespace permitido que possua um `ReferenceGrant` da Gateway API correspondente. Isso resulta na exposição de serviços internos do Traefik no plano de dados. A exploração requer a capacidade de criar um `HTTPRoute` aceito e um `ReferenceGrant` correspondente a partir de um namespace permitido.