Base de CVEs

Traefik é um proxy reverso HTTP e balanceador de carga. Nas versões >= v3.7.0 e <= v3.7.11, o provedor ingress-nginx para Kubernetes trata incorretamente Ingresses que possuem tanto uma anotação de autenticação quanto a anotação nginx.ingress.kubernetes.io/from-to-www-redirect. Para esses Ingresses, o provedor cria um router 'irmão' adicional que corresponde apenas ao host, possui somente o middleware RedirectRegex e ainda aponta para o serviço de backend protegido do router pai. Como o RedirectRegex não é um handler terminal, uma requisição que não corresponde ao seu padrão é encaminhada ao backend, e como o padrão de redirecionamento aceita apenas uma porta numérica, enquanto o matcher de host do Traefik canonicaliza a autoridade via net.SplitHostPort, uma requisição com porta não numérica ou vazia (por exemplo 'Host: www.example.com:x') seleciona o router irmão, não passa pelo redirecionamento e é encaminhada ao backend protegido sem nenhum dos middlewares derivados das anotações do Ingress. Isso descarta não apenas a autenticação (por exemplo BasicAuth), mas também todos os middlewares derivados de anotações, incluindo a allowlist de IP de origem. As releases das linhas 2 e 3 do Traefik anteriores à v3.7.0 não são afetadas. O problema está corrigido na v3.7.12.