🇰🇷 한글 설명
Traefik 오픈소스 리버스 프록시에서 클라이언트가 제공한 Upgrade 헤더를 백엔드로 전달할 때 발생하는 보안 취약점입니다. 공격자가 h2c 업그레이드를 통해 원시 터널을 형성하면, Traefik의 인증, 속도 제한, IP 허용 목록 등 모든 보안 제어 기능이 무력화되어 보호된 경로에 무단 접근할 수 있습니다.
💡 쉬운 설명
보안 검문소 역할을 하는 Traefik이 특정 통신 방식을 허용할 때, 검문 과정을 통째로 건너뛰고 내부 서버로 바로 연결되는 통로가 생기는 문제입니다. 이를 통해 해커는 아이디나 비밀번호 없이도 보호된 데이터에 접근할 수 있습니다.
🇺🇸 원문 (English)
Traefik is an open source HTTP reverse proxy and load balancer. From 2.11.26 until 2.11.57 and 3.7.13, Traefik forwards a client-supplied Connection header requesting Upgrade, the Upgrade: h2c token, and HTTP2-Settings to a shared backend. If the backend accepts h2c and returns 101 Switching Protocols, Traefik enters a raw tunnel and no longer applies routers, BasicAuth, ForwardAuth, IPAllowList, RateLimit, access logging, metrics, or tracing to later HTTP/2 requests, allowing an unauthenticated request through an unprotected route to reach protected paths on the same backend. This issue is fixed in 2.11.57 and 3.7.13.
📍 영향받는 시스템
Traefik versions 2.11.26 to 2.11.57 and 3.7.13
⚔️ 공격 벡터
HTTP/2 Upgrade (h2c) 헤더를 이용한 인증 우회 및 원시 터널링 공격
🛡️ 대응 방법
Traefik을 버전 2.11.57 또는 3.7.13 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 나타나면 업데이트가 필요하며, 안전한 버전이 출력되면 정상입니다.
traefik version | grep -E 'v(2\.11\.(5[7-9]|[6-9][0-9])|3\.7\.(1[3-9]|[2-9][0-9]))'