🇰🇷 한글 설명
Traefik v3.7.0부터 v3.7.6 미만 버전의 Kubernetes Gateway API 제공자에서 발생하는 취약점입니다. 동일한 백엔드 서비스를 대상으로 하는 두 개의 HTTPRoute가 존재할 때, 필터 설정이 충돌하여 한쪽의 필터가 다른 쪽 요청에 잘못 적용될 수 있습니다. 이로 인해 테넌트 ID나 인증 컨텍스트와 같은 보안 헤더가 오염되어 네임스페이스 경계를 넘는 권한 상승이 발생할 수 있습니다.
💡 쉬운 설명
웹 트래픽을 전달하는 Traefik 설정 오류로 인해, A라는 사용자의 보안 정보가 B라는 사용자에게 잘못 전달될 수 있는 문제입니다. 공격자가 교묘하게 경로를 설정하면 다른 사용자의 권한을 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
Traefik is an open source HTTP reverse proxy and load balancer. From v3.7.0 prior to v3.7.6, Traefik's Kubernetes Gateway API provider may resolve two accepted HTTPRoutes that target the same backend Service:port but configure different backendRef filters to the same child service and apply only one route's filter set to all requests reaching that backend. In Gateway deployments where backendRef filters set security-sensitive headers, such as tenant identity, authorization context, or values the backend trusts, an attacker who can create an accepted HTTPRoute sharing the same backend Service:port may cause their route's filter context to be applied to another route's requests, potentially crossing namespace boundaries when a ReferenceGrant permits cross-namespace targeting. This issue is fixed in version v3.7.6.
📍 영향받는 시스템
Traefik v3.7.0 ~ v3.7.5 (Kubernetes Gateway API 사용 시)
⚔️ 공격 벡터
동일한 백엔드 서비스를 공유하면서 서로 다른 필터를 가진 HTTPRoute를 생성하여 보안 헤더를 조작함
🛡️ 대응 방법
Traefik을 v3.7.6 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 v3.7.6 미만인 경우 해당 취약점에 노출된 상태입니다.
traefik version | grep -E 'v3\[0-7]\.[0-7]\.[0-5]'