CVE-2026-53622

Nome do Software Vulnerável e Versões Afetadas Traefik versões 3.6.17 até 3.7.1

Description Um problema na seleção da configuração TLS do HTTP/3 (QUIC) permite que clientes não autenticados ignorem a aplicação de TLS mútuo (mTLS) específica do roteador. Quando o HTTP/3 está habilitado, o handshake TLS utiliza uma busca exata e sensível a maiúsculas/minúsculas no valor do Server Name Indication (SNI) para selecionar a configuração TLS. Esse processo falha ao corresponder a padrões de host curinga (ex: *.example.com) ou variantes de caixa do nome do host configurado. Consequentemente, o handshake retorna para a configuração TLS padrão, que pode não exigir certificados de cliente. No entanto, a camada de roteamento HTTP subsequente ainda associa a requisição a um backend protegido por uma política de mTLS, permitindo que a requisição prossiga sem autenticação.

Detalhes técnicos incluem:

Recommendations Atualize para a versão 3.7.3 ou posterior. Como solução temporária, desabilite o HTTP/3 em entrypoints que dependem de mTLS específico do roteador. Como solução temporária, force o mTLS também nas opções TLS padrão para garantir que a configuração de fallback não seja mais fraca que as configurações específicas do roteador. Como solução temporária, bloqueie o acesso UDP ao entrypoint HTTP/3. Como solução temporária, force a autenticação do cliente em uma camada adicional atrás do software.