Traefik < 2.11.41 / 3.x < 3.6.11 多种漏洞

high Nessus 插件 ID 303797

语言：

简介

远程 macOS 主机受到多个漏洞影响。

描述

远程 macOS 主机上安装的 Traefik 版本低于 2.11.41 或 3.x 低于 3.6.11。因此，该应用程序受到多个漏洞的影响：

- 通过与拆分的 ClientHello 数据包相关的 TLS SNI 预嗅探逻辑进行的 mTLS 绕过。当 TLS ClientHello 拆分为多个记录时Traefik 的 SNI 提取可能因 EOF 失败并返回空 SNI。TCP 路由器随后会回退到默认 TLS 配置，该配置在默认情况下不需要客户端证书。这允许攻击者绕过路由级别 mTLS 执行并访问应需要相互 TLS 认证的服务。 (CVE-2026-32305)

- BasicAuth 中间件允许通过时序攻击枚举用户名。当提交的用户名存在时中间件执行 bcrypt 密码比较的时间比该用户名不存在时的时间明显长一些。可通过网络发现这种时间性差异且可让未经身份验证的攻击者以可靠方式区分有效用户名和无效用户名。 (CVE-2026-32595)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。