CVE-2026-88008: критическая уязвимость в Traefik обходит авторизацию через HTTP/2 h2c
В Traefik обнаружена уязвимость, позволяющая обойти механизмы авторизации и ограничений через несогласованную интерпретацию HTTP-запросов. Проблема затрагивает версии 2.11.26–2.11.56 и 3.7.12 и ниже. Присвоен высокий уровень опасности (CVSS 7.0).
Подробности
Уязвимость затрагивает Traefik начиная с версии 2.11.26 и до 2.11.56 включительно, а также все версии до 3.7.13. Механизм эксплуатации основан на особом поведении прокси при обработке определённых заголовков HTTP. Когда клиент отправляет заголовок Connection с запросом Upgrade, токен Upgrade: h2c и заголовок HTTP2-Settings, Traefik перенаправляет их на общий бэкенд. Если бэкенд поддерживает протокол h2c (HTTP/2 без шифрования) и отвечает кодом 101 Switching Protocols, Traefik переходит в режим «сырого туннеля». В этом режиме прокси перестаёт применять маршрутизацию, BasicAuth, ForwardAuth, IPAllowList, RateLimit, а также отключает журналирование доступа, метрики и трассировку для всех последующих HTTP/2-запросов. Таким образом, неаутентифицированный злоумышленник может отправить запрос через незащищённый маршрут и получить доступ к защищённым путям на том же бэкенде — фактически обходя все уровни авторизации и контроля доступа, настроенные на уровне Traefik. Проблема классифицируется как «Inconsistent Interpretation of HTTP Requests» (несогласованная интерпретация HTTP-запросов) в сочетании с «Incorrect Authorization» (некорректная авторизация).Что делать
Разработчики Traefik уже выпустили исправления. Для устранения уязвимости необходимо обновить продукт до версий 2.11.57 или 3.7.13 (или более поздних). Это наиболее надёжный и рекомендуемый способ защиты. Если немедленное обновление невозможно, следует рассмотреть временные меры митигации: — запретить или отфильтровать на уровне Traefik заголовки Upgrade: h2c и HTTP2-Settings, если использование h2c не является обязательным в вашей инфраструктуре; — ограничить возможность бэкендов отвечать кодом 101 Switching Protocols, если они не должны поддерживать h2c; — пересмотреть конфигурацию маршрутизации, чтобы исключить наличие общих бэкендов, доступных как через защищённые, так и через незащищённые маршруты; — усилить мониторинг подозрительных запросов с заголовками Connection: Upgrade и Upgrade: h2c. Важно отметить, что отключение отдельных middleware (RateLimit, ForwardAuth) на уровне конфигурации не устраняет проблему, поскольку уязвимость затрагивает сам механизм обработки h2c-туннеля. Итог: CVE-2026-88008 — серьёзная уязвимость в Traefik, позволяющая обойти авторизацию и получить доступ к защищённым ресурсам. Всем организациям, использующим затронутые версии, рекомендуется незамедлительно обновиться до 2.11.57 или 3.7.13. При невозможности обновления следует применить описанные митигации и проверить инфраструктуру на предмет компрометации.Источник: CVE Project (cvelistV5)