PT-2024-6568 · Traefik+1 · Traefik+1
Drolmat
·
Publicado
2024-08-28
·
Atualizado
2025-10-02
·
CVE-2024-45410
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas:
Versões do Traefik anteriores à 2.11.9
Versões do Traefik anteriores à 3.1.3
Descrição:
O problema decorre da manipulação de cabeçalhos HTTP personalizados adicionados pelo Traefik, como
X-Forwarded-Host ou X-Forwarded-Port, que podem ser removidos ou modificados por um cliente HTTP devido ao comportamento do HTTP/1.1, que permite que os cabeçalhos sejam definidos hop-by-hop por meio do cabeçalho HTTP Connection. Isso pode levar a implicações de segurança, pois o aplicativo confia no valor desses cabeçalhos. O ataque se baseia nesse comportamento do HTTP/1.1.Recomendações:
Para versões do Traefik anteriores à 2.11.9, atualize para a versão 2.11.9 ou posterior.
Para versões do Traefik anteriores à 3.1.3, atualize para a versão 3.1.3 ou posterior.
Como solução temporária, considere restringir o acesso aos cabeçalhos vulneráveis
X-Forwarded-Host e X-Forwarded-Port até que um patch esteja disponível.Evite usar o cabeçalho
Connection para definir cabeçalhos hop-by-hop nos endpoints de API afetados até que o problema seja resolvido.Exploit
Correção
Insufficient Verification of Data Authenticity
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Traefik