🇰🇷 한글 설명
Traefik v3.7.0 이상 v3.7.10 이하 버전의 Kubernetes Ingress NGINX 프로바이더에서 인증 우회 취약점이 발견되었습니다. 동일한 호스트를 공유하는 두 Ingress 객체가 서로 다른 TLS 옵션 이름을 생성할 경우, Traefik이 이를 충돌로 간주하여 클라이언트 인증을 요구하지 않는 기본 TLS 설정으로 되돌아가는 문제입니다. 이로 인해 클라이언트 인증이 활성화된 경로가 인증서 없이도 접근 가능해질 수 있습니다.
💡 쉬운 설명
보안 인증서가 필요한 웹사이트인데, 설정 오류로 인해 인증서 없이도 누구나 접속할 수 있게 되는 보안 구멍이 생겼습니다. 특정 조건에서 보안 장치가 작동하지 않고 기본 설정으로 풀려버리는 문제입니다.
🇺🇸 원문 (English)
Traefik versions >= v3.7.0 and <= v3.7.10 contain an authentication bypass in the Kubernetes Ingress NGINX provider. The TLS option generated for an Ingress carrying the nginx.ingress.kubernetes.io/auth-tls-secret annotation was named after the Ingress namespace and name. As a result, two Ingress objects sharing the same host, the same client CA secret, and the same client-authentication mode produced two distinct TLS option names for that host. Traefik treats this as a TLS options conflict and falls back to the entry point's default TLS configuration, which does not request a client certificate, so a route configured with nginx.ingress.kubernetes.io/auth-tls-verify-client: "on" becomes reachable without a client certificate. Only the v3.7 line is affected; the issue is fixed in v3.7.11.
📍 영향받는 시스템
Traefik versions >= v3.7.0 and <= v3.7.10
⚔️ 공격 벡터
동일한 호스트를 사용하는 두 개의 Ingress 객체를 생성하여 TLS 옵션 충돌을 유도함으로써 클라이언트 인증 절차를 무력화함
🛡️ 대응 방법
Traefik 버전을 v3.7.11 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 v3.7.0에서 v3.7.10 사이라면 취약한 상태이며, v3.7.11 이상이면 안전합니다.
traefik version 2>/dev/null | grep -oE 'v3\[0-9]+\.[0-9]+\.[0-9]+'