🇰🇷 한글 설명
Traefik의 Kubernetes Ingress NGINX 프로바이더에서 인증 설정 오류 시 보안 통제가 생략되는 취약점입니다. BasicAuth 또는 DigestAuth를 설정했으나 참조된 Secret을 찾을 수 없거나 해석할 수 없는 경우, 인증 미들웨어를 건너뛰고 백엔드 서비스를 인증 없이 노출합니다. 이 취약점은 Traefik 3.7.0-ea.1부터 3.7.5 미만 버전에서 발생합니다.
💡 쉬운 설명
로그인 기능이 필요한 웹사이트 설정 중 비밀번호 파일에 문제가 생기면, 보안 장치가 작동하지 않고 누구나 접속할 수 있게 문이 열려버리는 문제입니다. 실수로 설정이 잘못되었을 때 보안이 오히려 풀려버리는 위험한 상황입니다.
🇺🇸 원문 (English)
Traefik is an HTTP reverse proxy and load balancer. From 3.7.0-ea.1 until 3.7.5, there is a medium severity vulnerability in Traefik's Kubernetes Ingress NGINX provider that causes affected routes to fail open. When an Ingress explicitly enables BasicAuth or DigestAuth through the supported nginx.ingress.kubernetes.io/auth-type and auth-secret annotations, but the referenced auth Secret cannot be resolved or parsed, Traefik logs the resolution error, skips installing the authentication middleware, and still emits a router to the backend service. A route that operators intended to protect is therefore published to the data plane without its authentication control, allowing unauthenticated access to the backend. The trigger is an invalid or unresolved auth dependency — a missing, malformed, unreadable, or policy-denied Secret — rather than an intentionally unprotected route. This vulnerability is fixed in 3.7.5.
📍 영향받는 시스템
Traefik 3.7.0-ea.1 ~ 3.7.5 미만 버전
⚔️ 공격 벡터
잘못된 또는 존재하지 않는 인증 Secret을 사용하여 인증 미들웨어가 비활성화된 상태로 라우터가 노출되는 것을 이용
🛡️ 대응 방법
Traefik 버전을 3.7.5 이상으로 업데이트하고 Kubernetes Secret 설정의 유효성을 확인하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 나타나면 업데이트가 필요한 상태입니다.
traefik version 2>/dev/null | grep -E '3\.(7\.[0-4]|7\.0\.[0-9]|7\.1|7\.2|7\.3|7\.4)'