CVE-2026-88877

सारांश

Traefik एक HTTP रिवर्स प्रॉक्सी और लोड बैलेंसर है। v3.7.0 और उससे अधिक तथा v3.7.11 और उससे कम संस्करणों में, Kubernetes ingress-nginx प्रोवाइडर उन Ingresses को गलत तरीके से संभालता है जिनमें एक authentication annotation और nginx.ingress.kubernetes.io/from-to-www-redirect annotation दोनों मौजूद होते हैं। ऐसे Ingresses के लिए प्रोवाइडर एक अतिरिक्त 'sibling' router बनाता है जो केवल host पर मैच करता है, केवल RedirectRegex middleware रखता है, और फिर भी parent router की संरक्षित backend service की ओर इंगित करता है। चूँकि RedirectRegex एक terminal handler नहीं है, जो request उसके pattern से मेल नहीं खाती वह backend को अग्रेषित कर दी जाती है, और चूँकि redirect pattern केवल एक numeric port स्वीकार करता है जबकि Traefik का host matcher net.SplitHostPort के माध्यम से authority को canonicalize करता है, एक non-numeric या खाली port वाली request (उदाहरण के लिए 'Host: www.example.com:x') sibling router को चुनती है, redirect को miss करती है, और Ingress के annotation-derived middlewares में से किसी के भी लागू किए बिना संरक्षित backend पर प्रॉक्सी कर दी जाती है। यह न केवल authentication (जैसे BasicAuth) को बल्कि हर annotation-derived middleware को, जिसमें source-IP allowlisting भी शामिल है, नष्ट कर देता है। Traefik v2 और v3.7.0 से पहले के v3 रिलीज़ प्रभावित नहीं हैं। यह समस्या v3.7.12 में ठीक कर दी गई है।

स्रोत

• CVE-2026-88877-PoC-pwnVaderPoC

  CVE-2026-88877 के लिए प्रूफ-ऑफ-कॉन्सेप्ट और पुनरुत्पादनीय लैब, जो from-to-www-redirect के माध्यम से Traefik ingress-nginx प्रमाणीकरण बायपास है, साथ में रीड-ओनली चेक मोड भी।