CVE-2024-45410
El cliente HTTP puede eliminar los encabezados X-Forwarded en Traefik
- Publicado
- 19 sept 2024
- Actualizado
- 20 sept 2024
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 72,9 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Traefik es un proxy de aplicación nativo de la nube (golang). Cuando Traefik procesa una solicitud HTTP, Traefik agrega ciertos encabezados HTTP como X-Forwarded-Host o X-Forwarded-Port antes de que la solicitud se envíe a la aplicación. Para un cliente HTTP, no debería ser posible eliminar o modificar estos encabezados. Dado que la aplicación confía en el valor de estos encabezados, podrían surgir implicaciones de seguridad si se pueden modificar. Sin embargo, para HTTP/1.1, se descubrió que algunos de estos encabezados personalizados sí se pueden eliminar y, en ciertos casos, manipular. El ataque se basa en el comportamiento de HTTP/1.1, que permite definir los encabezados como salto a salto a través del encabezado de conexión HTTP. Este problema se ha solucionado en las versiones de lanzamiento 2.11.9 y 3.1.3. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.
Fuentes
1Una prueba de concepto del CVE de traefik para comprender el impacto
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.