CVE-2026-88877

概要

TraefikはHTTPリバースプロキシおよびロードバランサーです。v3.7.0以上v3.7.11以下のバージョンにおいて、Kubernetes ingress-nginxプロバイダーが、認証アノテーションとnginx.ingress.kubernetes.io/from-to-www-redirectアノテーションの両方を持つIngressを誤って処理します。そのようなIngressに対して、プロバイダーはホストのみにマッチし、RedirectRegexミドルウェアのみを保持し、依然として親ルーターの保護されたバックエンドサービスを指す追加の「兄弟」ルーターを作成します。RedirectRegexはターミナルハンドラーではないため、そのパターンにマッチしないリクエストはバックエンドに転送され、またリダイレクトパターンは数値ポートのみを受け入れる一方でTraefikのホストマッチャーはnet.SplitHostPortを介してauthorityを正規化するため、非数値または空のポートを持つリクエスト（例えば「Host: www.example.com:x」）は兄弟ルーターを選択し、リダイレクトにマッチせず、Ingressのアノテーション由来のミドルウェアが一切適用されないまま保護されたバックエンドにプロキシされます。これにより、認証（例：BasicAuth）だけでなく、送信元IP許可リストを含むすべてのアノテーション由来のミドルウェアが破棄されます。Traefik v2およびv3.7.0より前のv3リリースは影響を受けません。この問題はv3.7.12で修正されています。

ソース

• CVE-2026-88877-PoC-pwnVaderPoC

  CVE-2026-88877（from-to-www-redirect を介した Traefik ingress-nginx 認証バイパス）の概念実証および再現可能なラボ。読み取り専用のチェックモード付き。