PT-2026-3141 · Traefik · Traefik
Pavelkohout396
·
Publicado
2026-01-15
·
Atualizado
2026-02-03
·
CVE-2026-22045
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do Traefik anteriores a 2.11.35 e 3.6.7
Descrição
O Traefik, um proxy reverso HTTP e balanceador de carga, possui um problema potencial na geração automática de seus certificados TLS ACME. O fast path ACME TLS-ALPN pode permitir que clientes não autenticados ocupem goroutines e descritores de arquivo indefinidamente quando o desafio TLS ACME está habilitado. Um cliente malicioso pode abrir muitas conexões, enviar um ClientHello mínimo com
acme-tls/1 e então parar de responder, levando a uma negação de serviço do ponto de entrada. A vulnerabilidade decorre da falta de timeouts e do fechamento adequado de conexão dentro do código de tratamento ACME TLS-ALPN, especificamente em pkg/server/router/tcp/router.go. Isso permite que um cliente esgote os recursos do servidor mantendo goroutines e descritores de arquivo abertos sem um limite definido.Recomendações
Versões do Traefik anteriores a 2.11.35 devem ser atualizadas.
Versões do Traefik anteriores a 3.6.7 devem ser atualizadas.
Exploit
Correção
DoS
Allocation of Resources Without Limits
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Traefik