CVE-2026-88877

요약

Traefik은 HTTP 리버스 프록시이자 로드 밸런서입니다. v3.7.0 이상 및 v3.7.11 이하 버전에서 Kubernetes ingress-nginx 프로바이더는 인증 어노테이션과 nginx.ingress.kubernetes.io/from-to-www-redirect 어노테이션을 모두 가진 Ingress를 잘못 처리합니다. 이러한 Ingress에 대해 프로바이더는 호스트만으로 매칭되고 RedirectRegex 미들웨어만 가지며 여전히 부모 라우터의 보호된 백엔드 서비스를 가리키는 추가 '형제(sibling)' 라우터를 생성합니다. RedirectRegex는 종료 핸들러가 아니므로 패턴이 일치하지 않는 요청은 백엔드로 전달되며, 리다이렉트 패턴은 숫자 포트만 허용하는 반면 Traefik의 호스트 매처는 net.SplitHostPort를 통해 authority를 정규화하기 때문에, 숫자가 아니거나 빈 포트를 가진 요청(예: 'Host: www.example.com:x')은 형제 라우터를 선택하고 리다이렉트를 놓치며 Ingress의 어노테이션에서 파생된 미들웨어가 전혀 적용되지 않은 채 보호된 백엔드로 프록시됩니다. 이는 인증(예: BasicAuth)뿐만 아니라 소스 IP 허용 목록을 포함한 모든 어노테이션 파생 미들웨어를 무력화합니다. v3.7.0 이전의 Traefik v2 및 v3 릴리스는 영향을 받지 않습니다. 이 문제는 v3.7.12에서 수정되었습니다.

소스

• CVE-2026-88877-PoC-pwnVaderPoC

  CVE-2026-88877에 대한 개념 증명 및 재현 가능한 실습 환경으로, from-to-www-redirect를 통한 Traefik ingress-nginx 인증 우회 취약점이며, 읽기 전용 검사 모드를 포함합니다.