- Yama var
- Son 7 gün
- CWE-288
CVE-2026-114635
Traefik'te HTTP/2 şeması üzerinden SNI kontrolü atlatılabilir
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Traefik, v2.11.58 öncesi ve v3.7.14 öncesi sürümlerinde, istek TLS durumu nil olduğunda atlanan SNI kontrolünde kimlik doğrulama atlatma açığı içermektedir. Kimlik doğrulaması yapılmamış istemciler, Go 1.27 derlemelerinde TLS üzerinden :scheme http sahte başlığını içeren HTTP/2 istekleri göndererek, istemci sertifikası gerektiren yönlendiricilere bir sertifika sunmadan erişebilmektedir.
Kaynaktaki açıklama (İngilizce)
Traefik before v2.11.58 and v3.7.14 contains an authentication bypass vulnerability in its SNI check, which is skipped when request TLS state is nil. Unauthenticated clients can send HTTP/2 requests with the :scheme http pseudo-header over TLS on Go 1.27 builds to reach routers requiring client certificates without presenting one.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| traefik | < 2.11.58 | 2.11.58 |
| 2.11.58 Etkilenmiyor | – | |
| ≥ 3.0.0, < 3.7.14 | 3.7.14 | |
| 3.7.14 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.