Skip to content
Hacker Posts

Traefik : un déni de service déclenché par un en-tête NTLM

Un défaut dans la gestion des connexions NTLM/Negotiate de Traefik (GHSA-xv5x-242w-7hf7, CVSS 7.5) permet un déni de service non authentifié. Corrigé en 2.11.61 et 3.7.17.

Publié le 3 min de lecture
cvetraefikdosalerte

Traefik, le reverse proxy et contrôleur d'entrée très répandu sur Docker et Kubernetes, corrige une vulnérabilité de déni de service exploitable sans authentification. Le défaut, documenté dans l'avis GHSA-xv5x-242w-7hf7 et relayé par le CERT-FR dans CERTFR-2026-AVI-1439, est noté 7.5 (élevé), vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H — impact purement sur la disponibilité. Aucun CVE n'est attribué à ce stade. Correctifs en 2.11.61 et 3.7.17.

Versions concernées

L'avis éditeur délimite précisément la plage touchée, plus étroite que la formulation « versions antérieures » du CERT-FR :

  • Traefik v2 : de 2.11.58 à 2.11.60 inclus.
  • Traefik v3 : de 3.7.14 à 3.7.16 inclus.

Autrement dit, il s'agit d'une régression introduite dans des versions récentes : les installations plus anciennes ne sont pas visées par ce défaut précis, mais la mise à jour reste la seule réponse propre.

Ce que fait le bug

Lorsqu'une requête porte un en-tête Authorization avec le schéma NTLM ou Negotiate, Traefik dédie un transport backend à la connexion cliente — même sans identifiants valides ni challenge du backend. Un client non authentifié qui ouvre de nombreuses connexions éphémères laisse derrière lui des transports, des connexions backend inactives et des goroutines qui ne sont pas libérées à la fermeture de la connexion cliente. Résultat : épuisement de la mémoire, des descripteurs de fichiers et des connexions backend du processus Traefik.

Point important de l'avis : le comportement se produit que des backends NTLM ou Kerberos soient configurés ou non, et le moteur FastProxy présente le même schéma. Il suffit donc d'envoyer un en-tête Authorization: NTLM sur n'importe quelle route exposée pour amorcer la fuite de ressources — un déclencheur trivial.

Que faire

  1. Mettez à jour vers Traefik 2.11.61 (branche 2.x) ou 3.7.17 (branche 3.x) sans attendre.
  2. Inventoriez vos déploiements : Traefik arrive souvent par une image de base, un chart Helm ou un opérateur — vérifiez la version réellement en service, pas celle supposée.
  3. En attendant le correctif, surveillez la consommation mémoire et le nombre de descripteurs de fichiers du processus Traefik, et limitez l'exposition des routes aux seuls réseaux de confiance.

Contexte

C'est le énième avis de disponibilité ou de contournement sur Traefik cette année — après le bypass ForwardAuth de l'avis AVI-0823 et le défaut ReplacePathRegex de l'AVI-0851. Un composant placé en frontal de tout le trafic est une cible de choix : une faille pré-authentification qui tient dans un seul en-tête HTTP n'a pas besoin d'être sophistiquée pour mettre à genoux une passerelle d'entrée. La correction est mineure côté versions, l'exposition ne l'est pas.

Articles liés