🇰🇷 한글 설명
Traefik의 특정 버전에서 nginx.ingress.kubernetes.io/proxy-ssl-verify 어노테이션의 TLS 검증 로직이 반대로 작동하는 취약점이 발견되었습니다. 이로 인해 검증을 활성화하려 해도 실제로는 비활성화되어, HTTPS 백엔드를 대상으로 한 중간자 공격(MITM)에 노출될 수 있습니다.
💡 쉬운 설명
보안 설정을 켰다고 생각했지만 실제로는 보안 기능이 꺼져 있는 상태입니다. 이로 인해 해커가 중간에서 통신 내용을 가로채거나 조작할 위험이 있습니다.
🇺🇸 원문 (English)
Traefik is an HTTP reverse proxy and load balancer. Versions 3.5.0 through 3.6.2 have inverted TLS verification logic in the nginx.ingress.kubernetes.io/proxy-ssl-verify annotation. Setting the annotation to "on" (intending to enable backend TLS certificate verification) actually disables verification, allowing man-in-the-middle attacks against HTTPS backends when operators believe they are protected. This issue is fixed in version 3.6.3.
📍 영향받는 시스템
Traefik versions 3.5.0 through 3.6.2
⚔️ 공격 벡터
HTTPS 백엔드 통신 시 TLS 인증서 검증이 누락된 점을 악용한 중간자 공격(Man-in-the-Middle)
🛡️ 대응 방법
Traefik 버전을 3.6.3 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 v3.5.x 또는 v3.6.0~3.6.2 버전이 포함되어 있다면 취약한 상태입니다.
traefik version 2>/dev/null | grep -E 'v3\.(5|6)\.[0-9]' || echo 'Not vulnerable or version not found'