🇰🇷 한글 설명
Traefik의 특정 버전에서 클라이언트가 제공한 점(dot) 형태의 헤더가 ForwardAuth 교체 및 헤더 정규화 과정을 통과하여 백엔드로 전달되는 취약점이 발견되었습니다. 이로 인해 백엔드 서버가 Traefik이 설정한 인증 정보 대신 클라이언트가 조작한 값을 신뢰하게 되어 신원 사칭이 가능해집니다. 해당 문제는 2.11.56 및 3.7.12 버전에서 수정되었습니다.
💡 쉬운 설명
해커가 특수하게 조작된 이름의 헤더를 보내면, 보안 장비인 Traefik을 통과한 뒤 실제 서버가 해커의 가짜 정보를 진짜 정보로 착각하게 만드는 문제입니다. 이를 통해 해커는 다른 사용자로 위장하여 시스템에 접속할 수 있습니다.
🇺🇸 원문 (English)
Traefik is an open source HTTP reverse proxy and load balancer. Prior to 2.11.56, and from 3.0.0 until 3.7.12, a client-supplied dot-form header such as X.Authenticated.User survives ForwardAuth replacement and underscoreHeadersStrategy because Go treats it as distinct from X-Authenticated-User while normalization-prone CGI, WSGI, PHP, and NGINX backends collapse both names. A backend can consequently consume the client value instead of the identity Traefik asserted, allowing identity spoofing for any header managed by Traefik. The aliasHeadersStrategy protection is disabled by default and must be configured as delete or reject. The mitigation is available in 2.11.56 and 3.7.12.
📍 영향받는 시스템
Traefik 2.11.56 미만 버전 및 3.0.0부터 3.7.12 사이의 모든 버전
⚔️ 공격 벡터
클라이언트가 점(.)을 포함한 특수 헤더(예: X.Authenticated.User)를 전송하여 백엔드 서버의 헤더 정규화 특성을 악용
🛡️ 대응 방법
Traefik을 2.11.56 또는 3.7.12 이상의 최신 버전으로 업데이트하거나 aliasHeadersStrategy를 'delete' 또는 'reject'로 설정
🔧 검증 코드
명령어 실행 결과로 취약점이 해결된 버전(2.11.56 이상 또는 3.7.12 이상)이 출력되면 안전합니다.
traefik version 2>/dev/null | grep -E 'v(2\.11\.(5[6-9]|[6-9][0-9])|3\.(7\.(1[2-9]|[2-9][0-9])|[8-9][0-9]))'