Traefik

Traefik ist ein HTTP-Reverse-Proxy und Load-Balancer. In den Versionen vor 2.11.48, 3.6.19 und 3.7.3 besteht eine Schwachstelle in der StripPrefix-Middleware, die nicht authentifizierten Angreifern einen Angriff ermöglicht. CVSS-Basiswert: 10 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: auf Traefik 2.11.48, 3.6.19 bzw. 3.7.3 oder neuer aktualisieren.

Traefik ist ein HTTP-Reverse-Proxy und Load-Balancer. Vor den Versionen 2.11.43, 3.6.14 und 3.7.0-rc.2 besteht eine als hoch eingestufte Authentifizierungsumgehung in Traefiks ForwardAuth- und Snippet- Verarbeitung. CVSS-Basiswert: 10.0 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Quellen: Traefik-Labs-Security-Advisory und NVD.

Traefik ist ein HTTP-Reverse-Proxy und Load-Balancer. Vor den Versionen 2.11.46, 3.6.17 und 3.7.1 erlaubt der Kubernetes-Gateway-API-Provider einem Tenant mit der Berechtigung, HTTPRoutes zu erstellen, den REST-Provider-Handler freizulegen und dabei die Einstellung providers.rest.insecure=false zu umgehen. Ein niedrig privilegierter Akteur kann so schreibenden Zugriff auf die dynamische Konfiguration von Traefik erlangen und Router und Dienste unbefugt umkonfigurieren. CVSS-Basiswert: 9.9 (Kritisch). Der Vektor weist einen Scope-Wechsel aus, die Auswirkung reicht also über die verwundbare Komponente hinaus. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Aktualisierung auf 2.11.46, 3.6.17 oder 3.7.1.

Traefik ist ein HTTP-Reverse-Proxy und Load Balancer. Vor den Versionen 2.11.43, 3.6.14 und 3.7.0-rc.2 besteht eine Authentifizierungsumgehung in der ForwardAuth-Middleware, wenn trustForwardHeader=false konfiguriert ist und Traefik hinter einem vertrauenswürdigen Upstream-Proxy betrieben wird. CVSS-Basiswert: 10 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Traefik 2.11.43, 3.6.14 bzw. 3.7.0-rc.2 oder neuer aktualisieren.

Traefik ist ein HTTP-Reverse-Proxy und Load Balancer. In Versionen vor v2.11.51, v3.6.22 und v3.7.6 entfernen die Middlewares BasicAuth, DigestAuth und ForwardAuth gefälschte Identity-Header nur in kanonischer Schreibweise, sodass abweichend geschriebene Header durchgelassen werden. CVSS-Basiswert: 10.0 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Traefik v2.11.51, v3.6.22 bzw. v3.7.6 oder neuer aktualisieren.

Traefik, ein HTTP-Reverse-Proxy und Load Balancer, enthält von Version 3.7.0 bis 3.7.3 laut NVD eine Schwachstelle im Domain-Fronting-Schutz (SNICheck), die einem nicht authentifizierten Client den Zugriff ermöglicht. CVSS-Basiswert: 10 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Traefik 3.7.3 oder neuer aktualisieren.

Traefik, ein HTTP-Reverse-Proxy und Load Balancer, wählt vor Version 3.7.3 laut NVD die TLS-Konfiguration für HTTP/3 (QUIC) fehlerhaft aus, sodass nicht authentifizierte Clients Schutzmechanismen umgehen können. CVSS-Basiswert: 10 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Traefik 3.7.3 oder neuer aktualisieren.

In NLnet Labs Unbound von Version 1.4.22 bis einschliesslich 1.25.1 wird der UDP-Quellport zufällig gewählt und soll als geheimer Wert die Entropie von DNS-Transaktionen erhöhen. Im Zusammenhang mit dem Resolver-Load-Balancing ist dieser Schutzmechanismus betroffen. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Im HTTP-Reverse-Proxy und Load-Balancer Traefik erlaubt eine Path-Traversal-Schwachstelle im Installationsmechanismus für WASM-Plugins über ein manipuliertes ZIP-Archiv mit ../-Sequenzen das Überschreiben beliebiger Dateien ausserhalb des vorgesehenen Plugin-Verzeichnisses. Dies kann zu Remote Code Execution, Rechteausweitung, Persistenz oder Denial of Service führen. Betroffen sind die Versionen 2.11.27 und älter, 3.0.0 bis 3.4.4 sowie 3.5.0-rc1. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Update auf 2.11.28, 3.4.5 oder 3.5.0 einspielen.

Traefik ist ein HTTP-Reverse-Proxy und Load-Balancer. Vor den Versionen 2.11.25 und 3.4.1 besteht eine mögliche Schwachstelle bei Anfragen, die über einen PathPrefix-, Path- oder PathRegex-Matcher geroutet werden. Enthält die URL im Pfad eine URL-kodierte Zeichenkette, lässt sich ein über einen anderen Router exponiertes Backend ansprechen und dabei die Middleware-Kette umgehen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Update auf Version 2.11.25 bzw. 3.4.1 einspielen.

In Traefik besteht eine Schwachstelle bei der Verarbeitung von Anfragen, die über einen PathPrefix-, Path- oder PathRegex-Matcher geroutet werden. Enthält die URL im Pfad ein /../, lässt sich ein Backend eines anderen Routers ansprechen und die Middleware-Kette umgehen. Betroffen sind Versionen vor 2.11.24, 3.3.6 und 3.4.0-rc2. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 2.11.24, 3.3.6 oder 3.4.0-rc2; als Workaround kann eine PathRegexp-Regel ergänzt werden, die Pfade mit /../ nicht matcht.

Eine Schwachstelle im externen Authentifizierungsmechanismus von Cisco Modeling Labs kann es einem entfernten Angreifer ermöglichen, mit administrativen Rechten auf die Weboberflaeche zuzugreifen. Ursache ist die fehlerhafte Verarbeitung bestimmter Nachrichten des zugehoerigen externen Authentifizierungsservers. Unter bestimmten Bedingungen wird die Authentifizierung umgangen und der Angreifer als Administrator angemeldet, wozu gültige, auf dem externen Server hinterlegte Benutzerdaten nötig sind. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Aktualisierung auf die vom Hersteller bereitgestellte fehlerbereinigte Version.

Traefik ist ein in Go geschriebener Cloud-Native-Application-Proxy. Beim Verarbeiten einer HTTP-Anfrage fügt Traefik bestimmte Header wie X-Forwarded-Host oder X-Forwarded-Port hinzu, bevor die Anfrage an die Anwendung weitergeleitet wird. Bei HTTP/1.1 konnten einige dieser Header entfernt und in bestimmten Fällen manipuliert werden. Der Angriff nutzt das HTTP/1.1-Verhalten aus, wonach Header über den Connection-Header als hop-by-hop deklariert werden können. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf 2.11.9 beziehungsweise 3.1.3.

Traefik ist ein HTTP-Reverse-Proxy und Load-Balancer. In Versionen vor 2.11.43, 3.6.14 und 3.7.0-rc.2 besteht eine Authentifizierungsumgehung in der StripPrefixRegex-Middleware, wenn sie zusammen mit ForwardAuth, BasicAuth oder DigestAuth eingesetzt wird. Enthält der Präfix-Teil des Pfads einen oder mehrere Punkte, entsteht nach dem Stripping ein Dot-Segment (z. B. /./admin/secret), das die geschützten Pfadmuster von ForwardAuth nicht trifft, vom Backend aber gemäss RFC 3986 auf den echten Pfad normalisiert wird. Ein nicht authentifizierter Angreifer kann so geschützte Inhalte abrufen. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Empfohlene Massnahme: auf Traefik 2.11.43, 3.6.14 oder 3.7.0-rc.2 aktualisieren.

In Traefik vor Version 3.6.8 besteht eine Schwachstelle bei der Verarbeitung von STARTTLS-Anfragen. Ein nicht authentifizierter Client kann das respondingTimeouts.readTimeout des Traefik-Entrypoints umgehen, indem er die 8 Byte lange Postgres-SSLRequest-Präambel sendet und anschliessend blockiert; die Verbindungen bleiben unbegrenzt offen und führen zu einem Denial of Service. Die Schwachstelle ist über das Netzwerk ohne Benutzerinteraktion ausnutzbar und beeinträchtigt die Verfügbarkeit. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: Auf Traefik 3.6.8 oder neuer aktualisieren.

In Traefik, einem HTTP-Reverse-Proxy und Load-Balancer, besteht vor den Versionen 2.11.38 und 3.6.9 eine Schwachstelle bei der Verarbeitung von TLS-Handshakes auf TCP-Routern. Die Lesefrist zur Begrenzung des Protokoll-Sniffings wird gelöscht, bevor der TLS-Handshake abgeschlossen ist; ein nicht authentifizierter Angreifer kann durch unvollständige TLS-Datensätze Verbindungen dauerhaft offen halten. Durch viele solcher blockierten Verbindungen lassen sich File-Deskriptoren und Goroutines erschöpfen, was die Verfügbarkeit aller Dienste am betroffenen Entrypoint beeinträchtigt. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Update auf Traefik 2.11.38 bzw. 3.6.9.

In Traefik, einem HTTP-Reverse-Proxy und Load-Balancer, besteht vor den Versionen 2.11.42, 3.6.11 und 3.7.0-ea.3 eine Schwachstelle, wenn das Feld headerField mit einem nicht-kanonischen HTTP-Header-Namen (etwa x-auth-user statt der kanonischen Schreibweise) konfiguriert wird. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf Traefik 2.11.42, 3.6.11 oder 3.7.0-ea.3 aktualisieren.

Traefik ist ein HTTP-Reverse-Proxy und Load-Balancer. In den Versionen 2.11.9 bis 2.11.37 und 3.1.3 bis 3.6.8 behandelt der Schutz gegen das Entfernen Traefik-verwalteter X-Forwarded-Header über den Connection-Header die Gross-/Kleinschreibung nicht korrekt: Die Connection-Token werden gross-/kleinschreibungssensitiv gegen die geschützten Header-Namen geprüft, das eigentliche Löschen der Header erfolgt jedoch gross-/kleinschreibungsunabhängig. Ein entfernter, nicht authentifizierter Client kann dadurch mit kleingeschriebenen Connection-Token (etwa Connection: x-real-ip) den Schutz umgehen und die Entfernung Traefik-verwalteter Identitäts-Header wie X-Real-Ip, X-Forwarded-Host oder X-Forwarded-Port auslösen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf Traefik 2.11.38 bzw. 3.6.9 aktualisieren.

Traefik ist ein HTTP-Reverse-Proxy und Load-Balancer. Vor den Versionen 3.6.11 und 3.7.0-ea.2 baut der Knative-Provider Router-Regeln, indem er benutzerkontrollierte Werte ungeschützt in mit Backticks begrenzte Regelausdrücke einsetzt. Laut Quelle liess sich dies für eine Umgehung der Host-Beschränkung ausnutzen, sodass ein Router auch angreiferkontrollierte Hosts bedient; in Multi-Tenant-Clustern kann so Datenverkehr über Mandantengrenzen hinweg offengelegt werden. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Aktualisierung auf Version 3.6.11 bzw. 3.7.0-ea.2.

In NLnet Labs Unbound von Version 1.22.0 bis einschliesslich 1.25.1 umgehen laut Quelle bei aktiviertem downstream-DNS-over-QUIC (DoQ) die ersten beiden bidirektionalen Streams einer neuen QUIC-Verbindung (stream_id 0 und 4) eine Begrenzung. Die Schwachstelle ist laut Vektor über das Netzwerk ohne Rechte und ohne Nutzerinteraktion ausnutzbar und beeinträchtigt die Verfügbarkeit. CVSS-Basiswert: 7.5 (Hoch). Ein fehlerbereinigter Stand sollte eingespielt werden.

In NLnet Labs Unbound von Version 1.23.0 bis einschliesslich 1.25.1 wird laut Quelle bei aktivierter Option dns-error-reporting die EDNS-Report-Channel-Option (Code 18) aus der letzten Antwort des Upstreams verarbeitet. Die Schwachstelle ist laut Vektor über das Netzwerk ohne Rechte und ohne Nutzerinteraktion ausnutzbar und wirkt sich auf die Verfügbarkeit aus. CVSS-Basiswert: 7.5 (Hoch). Ein fehlerbereinigter Stand sollte eingespielt werden.

In NLnet Labs Unbound 1.7.0 bis einschliesslich 1.25.1 führt laut Quelle eine unzureichende Validierung des Feldes RRSIG.Labels in Verbindung mit vorzeitigen Cache-Schreibvorgängen während der aggressiven NSEC-Verarbeitung nach RFC 8198 zu einem Cache-Fehler. Der CVSS-Basiswert liegt bei 7.5 (Hoch); die Ausnutzung erfolgt laut Vektor über das Netzwerk ohne Rechte und ohne Nutzerinteraktion und gefährdet die Integrität. Ein fehlerbereinigter Stand sollte eingespielt werden.

Im Arena SDK 1.0.80.49 von LUCID Vision Labs ermöglicht eine DLL-Search-Order-Hijacking-Schwachstelle unter Windows einem lokalen Angreifer die Ausführung von beliebigem Code mit den Rechten der Anwendung, indem eine bösartige DLL im Suchpfad platziert wird. CVSS-Basiswert: 8.8 (Hoch). Die Schwachstelle ist laut NVD nicht als aktiv ausgenutzt (KEV) gelistet. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Laut Quellbeschreibung vertrauten IP- und GeoIP-Bedingungen fälschbaren Forwarded-Headern, sodass entfernte Clients standortbasierte Regeln umgehen konnten. CVSS-Basiswert: 7.5 (Hoch); die Lücke ist ohne Authentifizierung über das Netzwerk und ohne Benutzerinteraktion ausnutzbar und beeinträchtigt die Integrität. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Privilegierte AJAX-Endpunkte von Regular Labs in Joomla verlangten nicht durchgängig gültige CSRF-Tokens, passende Komponenten- bzw. Objektberechtigungen und eine vertrauenswürdige, servergenerierte Formularkonfiguration. Authentifizierte Benutzer mit geringeren Rechten konnten dies ausnutzen. CVSS-Basiswert: 8.0 (Hoch); die Ausnutzung setzt niedrige Rechte und eine Benutzerinteraktion voraus und kann Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittieren. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In Joomla fehlten bei Administrator-Aktionen, Editor-Popups sowie Import-/Export-Anfragen durchgängige Prüfungen von Token, Objektberechtigungen und Eingabevalidierung. Nicht berechtigte Backend-Benutzer oder CSRF-Angriffe konnten dadurch Inhalte offenlegen, erstellen oder verändern. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In Joomla erzwangen Administrator-Routen und die Verarbeitung von Install-, Update- und Uninstall-Vorgängen die Berechtigungen zur Komponentenverwaltung und Installation nicht konsequent. Dadurch konnte ein nicht autorisierter Backend-Benutzer oder eine CSRF-Attacke Komponenten installieren. CVSS-Basiswert: 8.8 (Hoch); die Ausnutzung erfordert eine Benutzerinteraktion, kann aber ohne Authentifizierung über das Netzwerk erfolgen und Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittieren. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Traefik ist ein quelloffener HTTP-Reverse-Proxy und Load-Balancer. Von Version 3.7.0 bis vor 3.7.6 kann der Kubernetes-Gateway-API-Provider zwei akzeptierte HTTPRoutes, die denselben Backend-Service:Port ansprechen aber unterschiedliche backendRef-Filter konfigurieren, auf denselben Kindservice auflösen und nur den Filtersatz einer Route auf alle Anfragen anwenden. Setzen backendRef-Filter sicherheitsrelevante Header, kann ein Angreifer, der eine akzeptierte HTTPRoute mit demselben Backend anlegen darf, seinen Filterkontext auf Anfragen einer anderen Route anwenden lassen und dabei potenziell Namespace-Grenzen überschreiten. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 3.7.6.

In Traefik ab Version 3.7.0-ea.1 bis vor 3.7.5 besteht im Kubernetes-Ingress-NGINX-Provider eine Schwachstelle, bei der betroffene Routen offen versagen (fail open). Wenn ein Ingress BasicAuth oder DigestAuth über die unterstützten Annotationen aktiviert, das referenzierte Auth-Secret aber nicht aufgelöst oder verarbeitet werden kann, protokolliert Traefik nur den Fehler, überspringt die Authentifizierungs-Middleware und veröffentlicht die Route dennoch. Eine eigentlich geschützte Route wird so ohne Authentifizierung erreichbar. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: Aktualisierung auf Traefik 3.7.5 oder neuer.

In Traefiks Kubernetes-Gateway-Provider wertet die crossProviderNamespaces-Allowlist bei HTTPRoute-Regeln mit mehreren (WRR-)backendRefs fälschlicherweise den Namespace des Ziel-backendRef statt den Namespace der Route selbst aus. Dadurch kann eine HTTPRoute in einem nicht freigegebenen Namespace über backendRef.namespace einen freigegebenen Namespace mit passendem Gateway-API-ReferenceGrant referenzieren und so interne TraefikService-Ressourcen wie api@internal, dashboard@internal oder rest@internal auf der Datenebene erreichbar machen. Voraussetzung ist die Möglichkeit, eine akzeptierte HTTPRoute sowie ein passendes ReferenceGrant aus einem freigegebenen Namespace anzulegen; Änderungen an statischer Konfiguration, RBAC oder Deployment sind dafür nicht nötig. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: Auf Traefik 3.6.21 bzw. 3.7.5 aktualisieren, dort ist die Schwachstelle behoben.

Wasmi ist ein WebAssembly-Interpreter für eingeschränkte und eingebettete Systeme. Laut NVD führt die Implementierung des linearen Speichers in den Versionen 0.41.0, 0.41.1, 0.42.0 bis 0.47.1, 0.50.0 bis 0.51.2 sowie 1.0.0 unter bestimmten Bedingungen beim Speicherwachstum zu einer Use-after-free-Schwachstelle, die durch ein WebAssembly-Modul ausgelöst werden kann. Dies kann zu Speicherbeschädigung, Informationsabfluss oder Codeausführung führen. Behoben ist das Problem in den Versionen 0.41.2, 0.47.1, 0.51.3 und 1.0.1; als Umgehungsmassnahme wird empfohlen, die maximale lineare Speichergrösse nach Möglichkeit zu begrenzen. CVSS-Basiswert: 8.4 (Hoch).

In RT-Labs P-Net besteht in Version 1.0.1 und früher eine Heap-based-Buffer-Overflow-Schwachstelle. Durch Versenden eines manipulierten RPC-Pakets kann ein Angreifer laut NVD bei IO-Geräten, die die Bibliothek nutzen, einen Absturz auslösen. CVSS-Basiswert: 7.5 (Hoch).

Die Bibliothek RT-Labs P-Net enthält in Version 1.0.1 und früher einen Heap-basierten Bufferoverflow. Ein Angreifer kann durch das Senden eines präparierten RPC-Pakets einen Absturz von IO-Geräten auslösen, die diese Bibliothek nutzen. CVSS-Basiswert: 7.5 (Hoch).

In RT-Labs P-Net Version 1.0.1 und früher besteht eine NULL-Pointer-Dereference-Schwachstelle. Ein Angreifer kann durch das Senden eines präparierten RPC-Pakets einen Absturz von IO-Geräten auslösen, die diese Bibliothek verwenden. CVSS-Basiswert: 7.5 (Hoch).

In RT-Labs P-Net Version 1.0.1 und früher besteht ein Heap-based Buffer Overflow. Laut NVD kann ein Angreifer durch ein manipuliertes RPC-Paket einen Absturz von IO-Geräten auslösen, die diese Bibliothek nutzen. CVSS-Basiswert: 7.5 (Hoch).

In RT-Labs P-Net besteht in Version 1.0.1 und früher eine Out-of-Bounds-Write-Schwachstelle. Durch Versenden eines manipulierten RPC-Pakets kann ein Angreifer laut NVD bei IO-Geräten, die die Bibliothek nutzen, einen Absturz auslösen. CVSS-Basiswert: 7.5 (Hoch).

Die Bibliothek RT-Labs P-Net enthält in Version 1.0.1 und früher eine Out-of-Bounds-Write-Schwachstelle. Ein Angreifer kann durch das Senden eines präparierten RPC-Pakets einen Absturz von IO-Geräten auslösen, die diese Bibliothek nutzen. CVSS-Basiswert: 7.5 (Hoch).

zkvyper ist ein Compiler für die Vyper-Sprache. In Versionen ab 1.3.12 bis vor 1.5.3 fehlt in der LLL-IR eine Turing-Restriktion, wodurch Schleifen zu einem deutlich späteren Exit kompiliert werden. Enthält der Schleifenkörper entsprechenden Code, kann dies zu Verlust von Geldern oder anderem unerwünschtem Verhalten führen; häufigere Anwendungsfälle wie das Iterieren über Arrays sind nicht betroffen. Es waren laut Quelle keine Verträge von dem Problem betroffen, das in Version 1.5.3 behoben wurde. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Auf Version 1.5.3 aktualisieren und betroffene Verträge neu bereitstellen.

Traefik, ein HTTP-Reverse-Proxy und Load-Balancer, weist in Versionen vor 2.11.6, 3.0.4 und 3.1.0-rc3 eine Schwachstelle auf, über die IP-Allow-Listen umgangen werden können. Möglich wird dies über HTTP/3-Early-Data-Requests im Rahmen von QUIC-0-RTT-Handshakes, die mit gefälschten IP-Adressen gesendet werden. Die Versionen 2.11.6, 3.0.4 und 3.1.0-rc3 enthalten einen Patch für dieses Problem, Workarounds sind nicht bekannt. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf 2.11.6, 3.0.4, 3.1.0-rc3 oder höher aktualisieren.

Traefik ist ein HTTP-Reverse-Proxy und Load Balancer. In betroffenen Versionen führt eine GET-Anfrage an einen beliebigen Traefik-Endpunkt mit gesetztem Content-Length-Header in der Standardkonfiguration zu einem unbegrenzten Hängenbleiben, was Angreifer zur Auslösung eines Denial-of-Service ausnutzen können. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 2.11.2 oder 3.0.0-rc5; alternativ lässt sich die Lücke durch Konfiguration der readTimeout-Option mitigieren.

Wasmi ist ein effizienter, leichtgewichtiger WebAssembly-Interpreter für eingebettete Systeme. Ruft der Host eine Wasm-Funktion mit mehr Parametern als dem Standardlimit von 128 auf oder setzt sie fort, kommt es zu einem Out-of-Bounds-Buffer-Write, das den Stack-Wert übersteigt; Aufrufe von Wasm zu Wasm sind davon nicht betroffen, nur vom Host zu Wasm. Die Schwachstelle wurde in Version 0.31.1 behoben. CVSS-Basiswert: 7.3 (Hoch).

Der Traefik-Docker-Container nutzt 100% CPU, wenn er als eigener Backend dient – eine automatisch generierte Route, die durch die Docker-Integration in der Standardkonfiguration entsteht. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 2.10.6 oder 3.0.0-beta5; Workarounds sind laut Quelle nicht bekannt. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In Traefik besteht in der Middleware ReplacePathRegex eine Authentifizierungsumgehung über Path Traversal. Betroffen sind laut Quelle die Versionen bis einschliesslich v2.11.51 sowie die Bereiche v3.6.0 bis v3.6.22 und v3.7.0 bis v3.7.6, wenn ReplacePathRegex entsprechend konfiguriert ist. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: auf eine fehlerbereinigte Traefik-Version aktualisieren.

Traefik in den Versionen >= v3.7.0 und <= v3.7.7 enthält eine Path-Traversal-Schwachstelle in der RewriteTarget-Middleware des Kubernetes-Ingress-NGINX-Providers, die aus der Annotation nginx.ingress.kubernetes.io/rewrite generiert wird. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Traefik ist ein HTTP-Reverse-Proxy und Load-Balancer. Die Versionen 2.11.40 und älter, 3.0.0-beta1 bis 3.6.11 sowie 3.7.0-ea.1 sind anfällig für eine mTLS-Umgehung über die TLS-SNI-Pre-Sniffing-Logik. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine korrigierte Traefik-Version aktualisieren.

dbt ermöglicht Datenanalysten und -ingenieuren, Daten mit denselben Praktiken zu transformieren, die Softwareentwickler zum Erstellen von Anwendungen nutzen. Betroffen ist der wiederverwendbare Workflow dbt-labs/actions. CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Laut NVD kann in NLnet Labs Unbound 1.22.0 bis einschliesslich 1.25.1 eine einzelne Client-Anfrage nach einem tief verschachtelten Namen unterhalb einer DNSSEC-signierten Zone dazu führen, dass Unbound deutlich mehr Upstream-Pakete pro Client-Anfrage versendet als üblich. Das begünstigt eine Überlastung der Namensauflösung. CVSS-Basiswert: 5.3 (Mittel). Betroffene sollten auf eine korrigierte Version aktualisieren, sobald diese verfügbar ist.