Traefikは、Webの通信を受けて裏のアプリに振り分けるリバースプロキシ(中継役)です。Kubernetes(コンテナを動かす基盤)やDockerの設定を読んで、振り分けを自動で組み立てられます。このTraefikが10月15日にv3.7.15を出し、脆弱性を3件直しました。
うち2件はHigh(重要)です。1件はTraefik全体が止まるサービス拒否(DoS)、1件はmTLS(クライアント証明書で相手を確かめる仕組み)が黙って外れる問題です。
ドイツのCERT-BundとフランスのCERT-FRも、10月16日に注意を呼びかけました。日付は日本時間です。
直った3件と対象の版
| 告知 |
中身 |
深刻度(CVSS 4.0) |
対象の版 |
当たる条件 |
| GHSA-ww7c-q3mv-xx22 |
FastProxyで、Traefik全体が止まる |
High(8.2) |
v3.2.0〜v3.7.14 |
experimental.fastProxyを有効にしている |
| GHSA-p8wx-ph99-xgcr |
mTLSが黙って外れる |
High(7.0) |
v3.7.0〜v3.7.14 |
Ingress NGINXプロバイダーでauth-tls-secretを使っている |
| GHSA-28hp-c82p-8vqj |
別の名前空間の証明書の設定を使える |
Low(2.1) |
v3.7.11〜v3.7.14 |
同じプロバイダーを使っている |
直した版は3件ともv3.7.15です。10月18日時点で、どれにもCVEの番号は付いていません。
v3.2〜v3.6は、もう保守していないため直した版が出ない、とTraefikは告知に書いています。Traefikの版の一覧では、v3.6の安全面の更新は2026年8月16日に終わっています。この範囲で条件に当たる場合は、v3.7.15へ上げます。
悪用について、告知とリリースノートに記載はありません。米国CISAのKEV(悪用が確認された脆弱性の一覧)には、10月16日版でこの3件は載っていません。
止まる件はFastProxyを有効にしたときだけ
FastProxyは、中継を速くするための実験的な仕組みです。既定では使われず、起動の設定でexperimental.fastProxyを書いたときだけ動きます。Traefikの文書は、実験的で今後変わりうるため、本番では注意して使うよう書いています。
告知によると、裏のアプリが通信の切り替え(WebSocketなど)に応じたあと、2つの処理が同じ受け取りの場所を同時に読んでいました。認証のいらない外の相手が細工した接続を繰り返すと、Traefikの処理全体が止まります。
TraefikのFastProxyの告知。対象はv3.2.0〜v3.7.14、直した版はv3.7.15出典: Traefik(traefik/traefik)(引用)
Traefikはアプリの入口に置く中継役なので、止まると、その裏のアプリにつながらなくなります。CERT-Bundも、リモートの匿名の攻撃者がDoSを起こせると説明しています。
v2は対象外です。FastProxyはv3.2から入った機能だからです。
mTLSの件はIngress NGINX互換の機能を使う場合が対象
KubernetesのIngress NGINXコントローラー(利用者の多かった入口の部品)は、2026年3月で保守を終えました。Kubernetesの公式ブログは、この後は脆弱性の修正も出ないとしています。
Traefikには、その設定の注釈(annotation)をそのまま読む「Ingress NGINXプロバイダー」があります。Traefikの文書は、これを乗り換えの道として案内しています。
この機能では、注釈auth-tls-secretでmTLSをかけられます。告知によると、mTLSの設定をホスト名ごとではなく、Ingress(入口の設定)ごとにかけていました。
同じホスト名に、auth-tls-secretを書いていない別のIngressがあると、設定がぶつかります。このとき、Traefikは証明書を求めない既定の設定に戻ってしまいました。その結果、証明書を持たない外の相手が、証明書で守っていたはずのアプリに届きます。
ただし、core.strictTLSOptionsを有効にしている場合は、既定の設定に戻りません。v3.7.15では、mTLSをホスト名全体にかけるように直しました。
3件目(Low)も同じ機能の問題です。ある名前空間でIngressを作れる人が、別の名前空間の証明書の設定を、自分の入口の確認に使えました。告知によると、その証明書の中身は漏れません。v3.7.11から入った問題です。
CERT-FRは、この件とmTLSの件をまとめて、「データの機密性の侵害」と「セキュリティの方針の回避」の恐れがあるとしています。
v3.7.15に上げる前に知っておくこと
リリースノートは、上げる前に移行の手引きを読むよう求めています。手引きには、v3.7.15で変わる動きが2つ載っています。
Traefik v3.7.15のリリースノート。直した告知3件と、通信の扱いの変更が並ぶ出典: Traefik(traefik/traefik)(引用)
| 変わること |
影響 |
手引きの勧め |
| CONNECTという種類の要求を、HTTPの版によらず断る(501) |
Traefikを通して別の場所へのトンネルを張っていた使い方は通らなくなる |
TCPの振り分け(TCPルーター)に切り替える |
| Gateway APIで、ポート番号443や名前がhttpsで始まるポートでも、裏へHTTPSでつながなくなる |
裏のアプリへ暗号化なしのHTTPでつながる |
ポートのappProtocolをhttpsにするか、BackendTLSPolicyを付ける |
2つ目は気づきにくい変更です。Gateway API(Kubernetesの新しい入口の決まり)を使っているなら、上げる前に裏のアプリへのつなぎ方を確かめます。
v2系にも、同じ日にv2.11.59が出ています。中身はCONNECTの扱いの変更などで、脆弱性の告知は付いていません。
影響する会社・しない会社
- 影響する: Traefikのv3.2.0〜v3.7.14で、experimental.fastProxyを有効にしている会社(止まる件)
- 影響する: Traefikのv3.7.0〜v3.7.14のIngress NGINXプロバイダーで、auth-tls-secretの注釈を使ってmTLSをかけている会社(mTLSの件)
- 影響する: とくに急ぐのは、mTLSで社外の取引先や機器だけを通すつもりの入口を、インターネットに出している会社です
- 確認が要る: Traefikを部品として含む製品やサービス、委託先が運用しているクラスターを使っている会社。版と設定は、提供元や運用している側に聞きます
- 影響しない: Traefik v2を使っている会社(3件とも対象外)
- 影響しない: FastProxyもIngress NGINXプロバイダーも使っていないv3の会社。ただし、ふだんの更新の中でv3.7.15へ上げます
- 影響しない: v3.7.15以降に上げた会社
情シスが今日やること
- Traefikを使っているかと、版を確かめます。 Kubernetesなら、Traefikのポッドのイメージの版(traefik:v3.7.14のようなタグ)を見ます。Dockerで動かしている場合や、委託先が運用している場合も同じく版を聞きます。
- 当たる条件を2つ確かめます。 起動の設定(設定ファイル、起動のオプション、Helmの値)にexperimental.fastProxyがあるかを見ます。Ingress NGINXプロバイダーを使っているなら、
kubectl get ingress -A -o yaml | grep auth-tls-secret でmTLSをかけたIngressを探します。
- v3.7.15へ上げる日を決めます。 検証の環境で、CONNECTの扱いとGateway APIのつなぎ方の変更を確かめてから、本番に入れます。v3.2〜v3.6を使っているなら、v3.7への移行の作業として計画します。
- 上げるまでのしのぎ方を決めます。 FastProxyは外して通常の中継に戻せば、告知の条件から外れます(編集部の整理)。mTLSは、同じホスト名を受けるIngressの設定をすべて揃えます。Traefikの文書も、これがいちばん確かな避け方だとしています。
- 上げたあとに動きを確かめます。 mTLSで守るホスト名に、証明書を持たずにつなぐと断られることを確かめます。Traefikが予期せず再起動していないかも、監視で見ます(編集部の補足)。
ほかのリバースプロキシの脆弱性は、NGINXに脆弱性5件 独当局も注意喚起 1.31.7・1.30.6へ更新をや、HAProxyのData Plane APIに認証バイパスの脆弱性 設定の全書き換えの恐れでも扱っています。
