CVE-2026-53622: Traefik: falha na seleção de configuração TLS do HTTP/3 contorna mTLS por router

Visão geral

A CVE-2026-53622 é uma falha crítica na forma como o Traefik, um proxy reverso HTTP e balanceador de carga, seleciona a configuração TLS para conexões HTTP/3 (QUIC). Quando o HTTP/3 está habilitado em um entrypoint, um cliente pode concluir o handshake sob a configuração TLS padrão em vez da configuração específica do router, o que pode levar a um backend protegido ser acessado sem certificado de cliente.

Impacto

Segundo o registro, um cliente não autenticado pode contornar a imposição de mTLS específica de router.
O handshake TLS recorre à configuração padrão, que pode não exigir certificados de cliente, enquanto o roteamento HTTP ainda encaminha a requisição ao backend protegido.
O vetor CVSS da NVD descreve um problema acessível pela rede, sem privilégios ou interação do usuário, com alto impacto em confidencialidade e integridade e sem impacto em disponibilidade.

Produtos e versões afetadas

O campo estruturado de afetados lista o Traefik com o intervalo abaixo de 3.7.3.
A descrição indica que versões anteriores a 3.7.3, 3.6.18 e 2.11.51 são afetadas. O campo estruturado não detalha os limites exatos das linhas de versão mais antigas, então isso deve ser confirmado no aviso do fornecedor.
Implantações só são afetadas quando as condições descritas estão presentes: HTTP/3 habilitado, regra Host com curinga ou correspondência de hostname sem distinção de maiúsculas e minúsculas, TLSOptions específico de router exigindo certificado de cliente e acesso UDP alcançável ao entrypoint.

Status de exploração

A entrada do KEV no registro indica que a vulnerabilidade não está listada no catálogo KEV da CISA. Não há confirmação de exploração em ambiente real nas fontes consultadas. O aviso do GitHub possui a etiqueta de referência Exploit, mas o registro não descreve seu conteúdo, então essa etiqueta não é tratada como evidência de exploração ativa.

Correção e mitigação

Atualize para 3.7.3, 3.6.18 ou 2.11.51, conforme a linha de versão em uso, de acordo com as correções indicadas pelo fornecedor.
Faça o inventário de todas as instâncias do Traefik, inclusive as de linhas mais antigas, e confirme quais têm HTTP/3 habilitado nos entrypoints.
Até concluir a atualização, avalie se o HTTP/3 é necessário nos entrypoints que protegem serviços com mTLS e se regras Host com curinga ou sem distinção de maiúsculas e minúsculas são realmente necessárias para esses routers.
Restrinja a exposição UDP dos entrypoints afetados a redes confiáveis, quando isso for operacionalmente viável.

Orientações de detecção

Revise a configuração estática e dinâmica para identificar HTTP/3 habilitado em entrypoints, routers com regras Host com curinga e TLSOptions que exigem autenticação por certificado de cliente.
Se os logs de acesso registram detalhes do certificado de cliente, procure requisições bem-sucedidas a serviços protegidos por mTLS nas quais esses detalhes estejam ausentes.
Acompanhe as versões implantadas em cada ambiente para identificar instâncias que ainda executam releases anteriores às versões corrigidas.

Limitações das informações disponíveis

O registro não inclui detalhes de prova de conceito, e esta análise não pretende fornecê-los.
O intervalo estruturado de afetados não corresponde totalmente à descrição para as linhas de versão mais antigas.
O registro não traz dados de EPSS ou SSVC, e a pontuação CVSS 4.0 aparece apenas como valor numérico informado pelo CNA do GitHub.
As referências da Red Hat presentes no registro não tiveram seu conteúdo revisado, então nenhuma afirmação é extraída delas.

Perguntas frequentes

Quais versões do Traefik corrigem a CVE-2026-53622?

Segundo o registro, as versões corrigidas são 3.7.3, 3.6.18 e 2.11.51, e a descrição indica que versões anteriores são afetadas.

Esta falha exige que o HTTP/3 esteja habilitado?

Sim. O registro afirma que o problema afeta implantações com HTTP/3 habilitado em um entrypoint, além de outras condições como regras Host com curinga e imposição de certificado de cliente por router.

Há registro de exploração ativa desta vulnerabilidade?

O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA, e as fontes consultadas não confirmam exploração em ambiente real.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.