CVE-2026-88010

Beschreibung

Traefik ist ein Open Source HTTP Reverse Proxy und Load Balancer. Von 3.6.11 bis 3.7.13 konstruiert checkPassword in pkg/middlewares/auth/basic auth.go den Singleflight-Schlüssel BasicAuth aus dem eingereichten Passwort und dem gespeicherten Geheimnis. Gleichzeitige Anfragen nach fehlenden Benutzernamen verschmelzen daher in einem Schlüssel, während konfigurierte Benutzernamen separate Passwort-Hashes ausführen, wodurch eine nicht authentifizierte Zeitabweichung entsteht, die zeigt, ob ein Benutzername existiert. Sequenzielle Überprüfungen bleiben kostengerecht, Traefik v2 und Digest-Authentifizierung sind nicht betroffen, und das Problem gibt keine Anmeldeinformationen bekannt oder umgeht die Authentifizierung. Dieses Problem wurde in Version 3.7.13 behoben.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Auf eine behobene Version aktualisieren: 3.7.13.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Oracle Traefik.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.