CVE-2026-88877

Zusammenfassung

Traefik ist ein HTTP-Reverse-Proxy und Load-Balancer. In den Versionen >= v3.7.0 und <= v3.7.11 behandelt der Kubernetes-ingress-nginx-Provider Ingresses falsch, die sowohl eine Authentifizierungs-Annotation als auch die Annotation nginx.ingress.kubernetes.io/from-to-www-redirect tragen. Für solche Ingresses erstellt der Provider einen zusätzlichen 'Sibling'-Router, der allein auf den Host matcht, nur die RedirectRegex-Middleware trägt und weiterhin auf den geschützten Backend-Service des Parent-Routers zeigt. Da RedirectRegex kein terminaler Handler ist, wird eine Anfrage, deren Muster nicht übereinstimmt, an das Backend weitergeleitet, und da das Redirect-Muster nur einen numerischen Port akzeptiert, während Traefiks Host-Matcher die Authority über net.SplitHostPort kanonisiert, wählt eine Anfrage mit einem nicht-numerischen oder leeren Port (zum Beispiel 'Host: www.example.com:x') den Sibling-Router aus, verfehlt die Weiterleitung und wird an das geschützte Backend weitergeleitet, ohne dass eine der aus den Ingress-Annotationen abgeleiteten Middlewares angewendet wird. Dadurch entfällt nicht nur die Authentifizierung (z. B. BasicAuth), sondern jede aus Annotationen abgeleitete Middleware, einschließlich Source-IP-Allowlisting. Traefik-v2- und v3-Releases vor v3.7.0 sind nicht betroffen. Das Problem ist in v3.7.12 behoben.

Quellen

• CVE-2026-88877-PoC-pwnVaderPoC

  Proof-of-Concept und reproduzierbares Lab für CVE-2026-88877, eine Authentifizierungsumgehung in Traefik ingress-nginx über from-to-www-redirect, mit einem schreibgeschützten Prüfmodus.