JVNDB-2026-033512

traefikにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

TraefikはHTTPリバースプロキシおよびロードバランサーです。バージョンv2.8.2以上からv2.11.55以下およびv3.0.0以上からv3.7.11以下において、entryPoints.＜name＞.transport.respondingTimeouts設定、特にデフォルトで60秒に設定されているreadTimeoutは、HTTP/3のリクエスト経路には適用されません。readTimeoutは基盤となるTCP接続に対する期限として強制されますが、これはQUICストリームには適用できず、TraefikのHTTP/3サーバーはタイムアウトなしで動作しています。その結果、HTTP/3が有効なエントリポイントにおいて、認証されていないリモートクライアントがリクエストボディのバイトを小出しに送信することで、リクエストを無期限に開いたままにでき、それに伴い各リクエストごとに1つのアップストリーム接続を占有し、制限されたバックエンド接続プールを枯渇させてサービス拒否を引き起こします。この問題はquic-goのAPI変更により、これらのタイムアウトを維持していた埋め込みのhttp.Serverが削除されたv2.8.2で導入されました。v2.11.56およびv3.7.12で修正されています。

traefik

• traefik 2.8.2 以上 2.11.56 未満
• traefik 3.0.0 以上 3.7.12 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : respondingTimeouts.readTimeout is not applied to HTTP/3, leaving slow-body uploads unbounded  Advisory  traefik/traefik  GitHub

VulnCheck

• VulnCheck : Traefik v2.8.2 through v3.6 HTTP/3 Timeout Bypass  | Advisories | VulnCheck

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-88878

1. National Vulnerability Database (NVD) : CVE-2026-88878

• [2026年09月15日]
    掲載