JVNDB-2026-022833

traefikにおける複数の脆弱性

TraefikはHTTPリバースプロキシおよびロードバランサーです。v2.11.51、v3.6.22、およびv3.7.6以前のバージョンでは、TraefikのBasicAuth、DigestAuth、およびForwardAuthミドルウェアは、自身の値を書き込む前に正規の大文字小文字のヘッダーを削除しますが、多くのバックエンドがダッシュ形式と同様に正規化するアンダースコアを含む変種のヘッダー名については考慮していません。攻撃者が保護されたルートに到達可能な場合、アンダースコア変種のヘッダーを注入してTraefikの削除をすり抜け、バックエンドに到達させることができます。または、認証されていないForwardAuthのauthResponseHeadersパスにおいて、Traefikが設定しようとした値の代わりにこのヘッダーを用いてアイデンティティや認可コンテキストを偽装することが可能です。この問題はv2.11.51、v3.6.22、およびv3.7.6のバージョンで修正されています。

traefik

• traefik 2.11.51 未満
• traefik 3.0.0 以上 3.6.22 未満
• traefik 3.7.0 以上 3.7.6 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Incomplete fix for CVE-2026-33433 + CVE-2026-39858 cross-cohort: headerField underscore-variant identity spoofing in BasicAuth / DigestAuth / ForwardAuth  Advisory  traefik/traefik  GitHub

1. 大文字と小文字の区別の不適切な処理(CWE-178) [その他]
2. スプーフィングによる認証回避(CWE-290) [その他]
3. データの信頼性についての不十分な検証(CWE-345) [その他]

1. CVE-2026-54763

1. National Vulnerability Database (NVD) : CVE-2026-54763
2. 関連文書 : Add an option to remove request headers with underscores by youkoulayley  Pull Request #13262  traefik/traefik  GitHub
3. 関連文書 : Add an option to remove request headers with underscores  traefik/traefik@108a526  GitHub

• [2026年07月09日]
    掲載