CVE-2026-35051: Vulnerabilidad de Bypass de Autenticación en Traefik
Descripción de la Vulnerabilidad
La vulnerabilidad
CVE-2026-35051 afecta a
Traefik, un proxy HTTP y balanceador de carga. Esta falla permite el
bypass de autenticación en el middleware
ForwardAuth cuando se configura la opción
trustForwardHeader=false y Traefik está deployado detrás de un proxy upstream confiable. Este problema no fue corregido en versiones anteriores a
2.11.43,
3.6.14 y
3.7.0-rc.2.
Sistemas Afectados
La vulnerabilidad afecta a las siguientes versiones de Traefik:
- Traefik 2.x antes de la versión 2.11.43
- Traefik 3.x antes de las versiones 3.6.14 y 3.7.0-rc.2
Estas versiones permiten a un atacante bypassar las medidas de autenticación si el proxy está configurado para confiar en encabezados HTTP de upstream, lo que puede llevar a la exposición de recursos protegidos.
Impacto y Explotabilidad
Este vulnerabilidad tiene un
impacto crítico (puntaje CVSS 10) debido a su
explotabilidad alta. Un atacante podría:
- Acceder a sistemas protegidos sin validación de credenciales.
- Explorar estructuras de red o servicios internos si el proxy está en un entorno corporativo.
La configuración
trustForwardHeader=false es una opción para evitar la manipulación de encabezados, pero su desactivación puede crear oportunidades para atacantes que controlen el upstream.
Indicadores de Compromiso (IOCs)
No hay indicadores de compromiso públicos disponibles para esta vulnerabilidad. La información proporcionada no incluye datos específicos sobre IPs, dominios o hashes asociados a este CVE.
Mitigación y Parches
La
solución más efectiva es actualizar Traefik a una de las siguientes versiones:
2.11.43 3.6.14 3.7.0-rc.2
Adicionalmente, se recomienda:
- Revisar la configuración de
trustForwardHeader en entornos críticos.
- Monitorear el uso de encabezados HTTP en proxies y validar que no estén manipulados por terceros.
La vulnerabilidad fue
revelada el 30 de abril de 2026, lo que subraya la importancia de aplicar parches a tiempo para evitar brechas de seguridad.