JVNDB-2026-033513

traefikにおけるユーザ制御の鍵による認証回避に関する脆弱性

TraefikはHTTPリバースプロキシおよびロードバランサーです。バージョンv3.7.0以上v3.7.11以下において、Kubernetesのingress-nginxプロバイダーは、認証アノテーションとnginx.ingress.kubernetes.io/from-to-www-redirectアノテーションの両方を持つIngressリソースを誤って処理します。そのようなIngressに対して、プロバイダーはホストのみでマッチする追加の「兄弟」ルーターを作成します。このルーターはRedirectRegexミドルウェアのみを持ち、親ルーターの保護されたバックエンドサービスを指し続けます。RedirectRegexは終端ハンドラーではないため、そのパターンに一致しないリクエストはバックエンドにフォワードされます。また、リダイレクトパターンは数値のみのポートを受け入れますが、Traefikのホストマッチャーはnet.SplitHostPortを使って正規化するため、数値以外または空のポート（例：「Host: www.example.com:x」）のリクエストは兄弟ルーターを選択し、リダイレクトをスキップしてIngressのアノテーション由来のミドルウェアが適用されずに保護されたバックエンドへプロキシされます。これにより認証（例：BasicAuth）だけでなく、ソースIPの許可リストなど、すべてのアノテーション由来のミドルウェアが無効になります。Traefikのv2およびv3のv3.7.0未満のリリースは影響を受けません。この問題はv3.7.12で修正されています。

traefik

• traefik 3.7.0 以上 3.7.12 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : ingress-nginx from-to-www-redirect sibling router serves the auth-protected backend without auth  Advisory  traefik/traefik  GitHub

VulnCheck

• VulnCheck : Traefik v3.7.0 Authentication Bypass via from-to-www-redirect  | Advisories | VulnCheck

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-88877

1. National Vulnerability Database (NVD) : CVE-2026-88877

• [2026年09月15日]
    掲載