CVE-2026-48491: Bypass de mTLS via TLSOptions com wildcard no SNICheck do Traefik
A CVE-2026-48491 afeta o Traefik nas versões 3.7.0 até 3.7.3, em que a proteção SNICheck contra domain fronting não aplica opções TLS com wildcard ao cabeçalho Host HTTP. Segundo o registro, um cliente não autenticado pode alcançar um backend protegido por wildcard sem apresentar certificado de cliente. O problema está corrigido na versão 3.7.3, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O Traefik é um proxy reverso HTTP e balanceador de carga. A CVE-2026-48491 trata da proteção contra domain fronting (SNICheck), que, segundo o aviso do GitHub, pode permitir que um cliente não autenticado alcance um backend protegido por wildcard sem apresentar certificado de cliente quando era esperado mTLS. O registro indica versões afetadas de 3.7.0 até antes de 3.7.3.
Impacto
- Clientes não autenticados podem contornar o mTLS imposto por TLSOptions de roteadores com wildcard.
- O registro descreve o caminho HTTPS / HTTP-2 regular e informa que HTTP/3 não é necessário.
- A NVD lista pontuação CVSS 3.1 de 10.0, com alto impacto em confidencialidade e integridade e sem impacto em disponibilidade, enquanto o GitHub indica 7.8 no CVSS 4.0.
Produtos e versões afetadas
- Produto: Traefik Traefik.
- Faixa afetada: de 3.7.0 até antes de 3.7.3.
- Correção: versão 3.7.3, conforme o registro e a página de lançamento.
Status de exploração
Esta CVE não consta no catálogo KEV da CISA no registro, e nenhuma exploração ativa confirmada aparece nas fontes consultadas. A referência do aviso do GitHub possui a tag 'Exploit' no registro, mas o registro não descreve detalhes de exploração nem evidências de ataques.
Correção e mitigação
- Atualize o Traefik para a versão 3.7.3 ou superior, conforme as notas de lançamento e o aviso.
- Até a atualização, revise roteadores que combinam regras de host com wildcard e opções TLS mais restritivas, e inventarie os entrypoints que também servem SNI permissivo.
- O registro não descreve workaround documentado; se existe, é desconhecido.
Orientações de detecção
- Levante a versão do Traefik em todos os proxies e identifique instâncias na faixa afetada.
- Revise a configuração em busca de regras de host com wildcard associadas à exigência de certificado de cliente.
- Quando o registro de logs permitir, monitore logs de acesso para requisições a backends protegidos sem identidade de certificado de cliente. Trata-se de sugestão de alto nível, não de assinatura de detecção validada.
Limitações das informações disponíveis
- O registro está marcado como Modified, portanto as fontes podem mudar.
- Há três pontuações CVSS de provedores e versões diferentes, e o registro não identifica a base da pontuação 9.1.
- Dados de EPSS e SSVC estão ausentes.
- O registro não traz prova de conceito detalhada nem assinaturas de detecção validadas, e esta análise não as acrescenta.
Perguntas frequentes
Quais versões do Traefik são afetadas pela CVE-2026-48491?
O registro indica as versões de 3.7.0 até antes de 3.7.3 como afetadas.
Qual é a versão corrigida?
O registro e a página de lançamento do Traefik indicam que a versão 3.7.3 contém a correção.
Há exploração ativa conhecida?
O registro mostra que a CVE não consta no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.