| Title | traefikにおける複数の脆弱性 |
|---|---|
| Summary | TraefikはHTTPリバースプロキシおよびロードバランサーです。バージョン2.11.43、3.6.14、および3.7.0-rc.2より前のバージョンにおいて、TraefikのKubernetes CRDプロバイダーのクロスネームスペース分離強制に潜在的な脆弱性が存在します。providers.kubernetesCRD.allowCrossNamespace=falseの場合、TraefikはIngressRouteオブジェクトからの直接的なクロスネームスペースミドルウェア参照を正しく拒否しますが、Chainミドルウェアのspec.chain.middlewares[]内にネストされたミドルウェア参照には同じ制限を適用していません。自身のネームスペースでTraefik CRDを作成または更新する権限を持つ攻撃者は、これを悪用してTraefikが別のネームスペースのミドルウェアオブジェクトを解決・適用させ、ドキュメントで示された分離境界を回避できます。この問題はバージョン2.11.43、3.6.14、および3.7.0-rc.2で修正されています。 |
| Possible impacts | 当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 |
| Solution | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | April 30, 2026, midnight |
| Registration Date | May 7, 2026, 12:05 p.m. |
| Last Update | May 7, 2026, 12:05 p.m. |
| CVSS3.0 : 警告 | |
| Score | 6.4 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N |
| traefik |
| traefik 2.11.43 未満 |
| traefik 3.0.0 以上 3.6.14 未満 |
| traefik 3.7.0 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年05月07日] 掲載 |
May 7, 2026, 12:05 p.m. |
| Summary | Traefik is an HTTP reverse proxy and load balancer. Prior to versions 2.11.43, 3.6.14, and 3.7.0-rc.2, there is a potential vulnerability in Traefik's Kubernetes CRD provider cross-namespace isolation enforcement. When providers.kubernetesCRD.allowCrossNamespace=false, Traefik correctly rejects direct cross-namespace middleware references from IngressRoute objects, but fails to apply the same restriction to middleware references nested inside a Chain middleware's spec.chain.middlewares[]. An actor with permission to create or update Traefik CRDs in their own namespace can exploit this to cause Traefik to resolve and apply middleware objects from another namespace, bypassing the documented isolation boundary. This issue has been patched in versions 2.11.43, 3.6.14, and 3.7.0-rc.2. |
|---|---|
| Publication Date | May 1, 2026, 6:16 a.m. |
| Registration Date | May 2, 2026, 4:06 a.m. |
| Last Update | May 2, 2026, 2:39 a.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:traefik:traefik:*:*:*:*:*:*:*:* | 2.11.43 | ||||
| cpe:2.3:a:traefik:traefik:*:*:*:*:*:*:*:* | 3.0.0 | 3.6.14 | |||
| cpe:2.3:a:traefik:traefik:3.7.0:ea1:*:*:*:*:*:* | |||||
| cpe:2.3:a:traefik:traefik:3.7.0:ea2:*:*:*:*:*:* | |||||
| cpe:2.3:a:traefik:traefik:3.7.0:ea3:*:*:*:*:*:* | |||||
| cpe:2.3:a:traefik:traefik:3.7.0:rc1:*:*:*:*:*:* | |||||