JVNDB-2026-006260

traefikにおける大文字と小文字の区別の不適切な処理に関する脆弱性

TraefikはHTTPリバースプロキシおよびロードバランサーです。バージョン2.11.9から2.11.37およびバージョン3.1.3から3.6.8にかけて、TraefikがConnectionヘッダーとX-Forwardedヘッダーを管理する際に潜在的な脆弱性が存在します。TraefikがHTTP/1.1リクエストを処理する際に、Traefikが管理するX-Forwardedヘッダー（X-Real-Ip、X-Forwarded-Host、X-Forwarded-Portなど）の削除を防ぐための保護機能は大文字・小文字の区別を正しく処理していません。Connectionトークンは保護されているヘッダー名と比較する際に大文字・小文字を区別しますが、実際のヘッダー削除は大文字・小文字の区別なしに行われます。その結果、リモートの未認証クライアントが小文字のConnectionトークン（例：Connection: x-real-ip）を使用して保護を回避し、Traefikが管理する転送元識別ヘッダーの削除を引き起こすことが可能です。この問題はバージョン2.11.38および3.6.9で修正されています。

traefik

• traefik 2.11.9 以上 2.11.38 未満
• traefik 3.1.3 以上 3.6.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Case-Sensitive Bypass in Connection Header Allows Removal of X-Forwarded Headers  Advisory  traefik/traefik  GitHub

1. 大文字と小文字の区別の不適切な処理(CWE-178) [その他]

1. CVE-2026-29054

1. National Vulnerability Database (NVD) : CVE-2026-29054
2. 関連文書 : Release v3.6.9  traefik/traefik  GitHub
3. 関連文書 : Release v2.11.38  traefik/traefik  GitHub

• [2026年03月09日]
    掲載