🇰🇷 한글 설명
Traefik의 HTTP/3 엔트리포인트에서 readTimeout 설정이 제대로 적용되지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 매우 느린 속도로 요청 본문을 전송하여 연결을 무한히 유지함으로써 백엔드 연결 풀을 고갈시킬 수 있습니다.
💡 쉬운 설명
공격자가 데이터를 아주 조금씩 천천히 보내서 서버의 연결 통로를 계속 붙잡아 두는 공격입니다. 이로 인해 서버의 연결 자원이 모두 소모되어 정상적인 사용자가 서비스를 이용하지 못하게 될 수 있습니다.
🇺🇸 원문 (English)
Traefik is an open source HTTP reverse proxy and load balancer. From 2.8.2 until 2.11.56 and 3.7.12, HTTP/3 entrypoints do not apply entryPoints..transport.respondingTimeouts.readTimeout because the timeout is enforced on a TCP connection and the HTTP/3 server has no corresponding QUIC stream deadline. An unauthenticated client can use a slow request body, trickling data indefinitely while holding a request and an upstream connection open and exhausting backends with bounded connection pools. This issue is fixed in 2.11.56 and 3.7.12.
📍 영향받는 시스템
Traefik 2.8.2 ~ 2.11.56 및 3.7.12 미만 버전
⚔️ 공격 벡터
인증되지 않은 클라이언트가 HTTP/3를 통해 매우 느린 속도로 요청 데이터를 전송하여 연결 유지
🛡️ 대응 방법
Traefik을 2.11.56 또는 3.7.12 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.11.56 이상 또는 3.7.12 이상인지 확인하여 취약 여부를 판단합니다.
traefik version 2>/dev/null | grep -E 'v(2\.(11\.56|11\.57|...)|3\.(7\.12|...))' || echo 'Check version manually'