CVE-2024-45410
HTTP client can remove the X-Forwarded headers in Traefik
Em resumo
O Traefik adiciona cabeçalhos de segurança (como X-Forwarded-Host) nas requisições antes de enviá-las para aplicações, mas atacantes conseguem remover esses cabeçalhos usando truques do HTTP/1.1, enganando a aplicação para confiar em informações maliciosas.
Detalhe técnico
Clientes HTTP/1.1 podem explorar o mecanismo do cabeçalho Connection para marcar cabeçalhos X-Forwarded-* como hop-by-hop, fazendo o Traefik removê-los das requisições antes de chegar à aplicação backend. Isso compromete pressupostos de segurança baseados em cabeçalhos e pode levar a spoofing de host/porta e bypass de autenticação se a aplicação confiar nesses cabeçalhos para roteamento, validação ou decisões de controle de acesso.
Resumo gerado e traduzido por IA a partir da descrição oficial.
Traefik is a golang, Cloud Native Application Proxy. When a HTTP request is processed by Traefik, certain HTTP headers such as X-Forwarded-Host or X-Forwarded-Port are added by Traefik before the request is routed to the application. For a HTTP client, it should not be possible to remove or modify these headers. Since the application trusts the value of these headers, security implications might arise, if they can be modified. For HTTP/1.1, however, it was found that some of theses custom headers can indeed be removed and in certain cases manipulated. The attack relies on the HTTP/1.1 behavior, that headers can be defined as hop-by-hop via the HTTP Connection header. This issue has been addressed in release versions 2.11.9 and 3.1.3. Users are advised to upgrade. There are no known workarounds for this vulnerability.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
traefik · traefikPoCs públicas encontradas — 1
githubgithub.com/jphetphoumy/traefik-CVE-2024-45410-poc★ 5⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
Quer saber se a sua infraestrutura está exposta a isto?
Falar com a TrueHacking →