CVE-2026-88877

Резюме

Traefik — это HTTP-обратный прокси и балансировщик нагрузки. В версиях >= v3.7.0 и <= v3.7.11 провайдер Kubernetes ingress-nginx неправильно обрабатывает Ingress-ресурсы, которые содержат одновременно аннотацию аутентификации и аннотацию nginx.ingress.kubernetes.io/from-to-www-redirect. Для таких Ingress-ресурсов провайдер создаёт дополнительный «родственный» маршрутизатор, который сопоставляется только по хосту, содержит только middleware RedirectRegex и по-прежнему указывает на защищённый backend-сервис родительского маршрутизатора. Поскольку RedirectRegex не является терминальным обработчиком, запрос, не соответствующий его шаблону, перенаправляется на backend, а поскольку шаблон перенаправления принимает только числовой порт, тогда как сопоставитель хоста Traefik канонизирует authority через net.SplitHostPort, запрос с нечисловым или пустым портом (например, 'Host: www.example.com:x') выбирает родственный маршрутизатор, не проходит перенаправление и проксируется на защищённый backend без применения каких-либо middleware, производных от аннотаций Ingress. Это отбрасывает не только аутентификацию (например, BasicAuth), но и все middleware, производные от аннотаций, включая allowlisting по исходному IP. Выпуски Traefik v2 и v3 до v3.7.0 не затронуты. Проблема исправлена в v3.7.12.

Источники

• CVE-2026-88877-PoC-pwnVaderPoC

  Proof-of-concept и воспроизводимая лаборатория для CVE-2026-88877 — обхода аутентификации в Traefik ingress-nginx через from-to-www-redirect, с режимом проверки только для чтения.