CVE-2026-88879

Traefik to odwrotne proxy HTTP i moduł równoważenia obciążenia. W Traefik v1.x, v2.x do v2.11.55 i v3.0.0 do v3.7.11 nazwy nagłówków są kanonizowane tylko za pomocą myślników, więc X-Auth-User, X_Auth_User i X.Auth.User są traktowane przez Traefik jako trzy różne nagłówki, podczas gdy backendy, które wyprowadzają nazwy zmiennych z nazw nagłówków (CGI, WSGI, PHP, NGINX i inne) zwiń je w jedną zmienną. Klient może zatem przemycić alias kropkowy nagłówka, którym zarządza Traefik, przez zarządzające nim oprogramowanie pośredniczące — na przykład dostarczając X.Authenticated.User wraz z kanonicznym X-Authenticated-User napisanym przez oprogramowanie pośredniczące ForwardAuth — powodując, że taki backend odczyta wartość dostarczoną przez klienta zamiast tożsamości określonej przez Traefik. W testowanej konfiguracji (wbudowany interfejs SAPI w języku PHP 8.2 poprzez ścieżkę backendu HTTP/1) leksykalne porządkowanie nagłówków w Go sprawia, że ​​wartość dostarczona przez atakującego wygrywa w sposób deterministyczny, więc klient, którego ForwardAuth przyznaje jako tożsamość o niskich uprawnieniach, może być traktowany przez backend jako inny użytkownik lub rola. Ma to wpływ na wszystkie nagłówki ustawione przez Traefik, nie tylko nagłówki ForwardAuth. Jest to niekompletna poprawka dla GHSA-x677-9fxg-v5c5, która blokowała jedynie formularz podkreślenia. Naprawiono w wersjach 2.11.56 i 3.7.12, które dodają opcję punktu wejścia aliasHeadersStrategy; ponieważ domyślnie jest to „zachowaj” w celu zapewnienia kompatybilności wstecznej, należy ją jawnie ustawić na „usuń” lub „odrzuć”, aby poprawka zaczęła obowiązywać. Nieobsługiwane linie wydań nie otrzymają łatki.