JVNDB-2026-033511

traefikにおけるスプーフィングによる認証回避に関する脆弱性

TraefikはHTTPリバースプロキシおよびロードバランサーです。Traefikのv1.x、v2.xからv2.11.55、およびv3.0.0からv3.7.11において、ヘッダー名はダッシュのみが正規化されるため、X-Auth-User、X_Auth_User、X.Auth.UserはTraefikによってそれぞれ別々のヘッダーとして扱われています。一方で、ヘッダー名から変数名を導出するバックエンド（CGI、WSGI、PHP、NGINXなど）はこれらを単一の変数にまとめてしまいます。したがって、クライアントはTraefikが管理するヘッダーのドット形式の別名をミドルウェアをすり抜けて送信可能です。例えば、ForwardAuthミドルウェアがcanonicalなX-Authenticated-Userを書き込む際に、X.Authenticated.Userを共に送信することで、バックエンドはTraefikが主張したIDではなく、クライアントが送信した値を読み取ってしまう可能性があります。テストされた構成（PHP 8.2組み込みSAPIをHTTP/1バックエンドパス上で使用）では、Goの辞書式ヘッダー順序により攻撃者が送信した値が決定的に優先されるため、ForwardAuthが低権限のIDとして認めたクライアントが、バックエンドから異なるユーザーやロールとして扱われることがあります。Traefikが設定する任意のヘッダーに影響があり、影響はForwardAuthのみに限りません。これはGHSA-x677-9fxg-v5c5の不完全な修正であり、アンダースコア形式のみがブロックされていました。v2.11.56およびv3.7.12で修正され、aliasHeadersStrategyエントリポイントオプションが追加されました。このオプションは下位互換性のためデフォルトで「keep」になっているため、修正を有効にするには明示的に「delete」または「reject」に設定する必要があります。メンテナンスされていないリリースラインにはパッチが提供されていません。

traefik

• traefik 1.0 以上 2.11.56 未満
• traefik 3.0.0 以上 3.7.12 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : ForwardAuth identity spoofing via dot-form header alias  Advisory  traefik/traefik  GitHub

VulnCheck

• VulnCheck : Traefik before v2.11.56 Identity Spoofing via Header Alias  | Advisories | VulnCheck

1. スプーフィングによる認証回避(CWE-290) [その他]

1. CVE-2026-88879

1. National Vulnerability Database (NVD) : CVE-2026-88879

• [2026年09月15日]
    掲載