JVNDB-2026-014234

traefikにおける誤って解決された名前や参照の使用に関する脆弱性

TraefikはHTTPリバースプロキシおよびロードバランサーです。バージョン2.11.43、3.6.14、および3.7.0-rc.2より前のバージョンに、高度な深刻度の認証バイパス脆弱性がTraefikのStripPrefixRegexミドルウェアに存在していました。この脆弱性は、ForwardAuth、BasicAuth、またはDigestAuthと組み合わせて使用した場合に発生します。ミドルウェアは正規表現をデコード済みのURLパスに対してマッチさせますが、パーセントエンコードされた生のパスをスライスするために結果のバイト長を使用しています。URLのプレフィックス部分にドット（または複数のドット）が現れると、ストリップ後の生パスはドットセグメント（例：/./admin/secret）になります。ForwardAuthはこのドットセグメントのパスをX-Forwarded-Uriで受け取り、保護されたパスパターンと一致しないため、リクエストを通過させてしまいます。バックエンドはRFC 3986に従ってドットセグメントを実際のパスに正規化し、保護されたコンテンツを提供します。認証されていない攻撃者は、ドットセグメント正規化を行うバックエンドに対してこの脆弱性を悪用できます。この問題はバージョン2.11.43、3.6.14、および3.7.0-rc.2で修正されています。

traefik

• traefik 2.11.43 未満
• traefik 3.0.0 以上 3.6.14 未満
• traefik 3.7.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : StripPrefixRegex auth bypass via Path/RawPath desync  Advisory  traefik/traefik  GitHub

1. 誤って解決された名前や参照の使用(CWE-706) [その他]

1. CVE-2026-40912

1. National Vulnerability Database (NVD) : CVE-2026-40912
2. 関連文書 : Release v3.6.14  traefik/traefik  GitHub
3. 関連文書 : Release v3.7.0-rc.2  traefik/traefik  GitHub
4. 関連文書 : Release v2.11.43  traefik/traefik  GitHub

• [2026年05月07日]
    掲載