Traefik : trois correctifs pour l’authentification et la mémoire du proxy
Le 12 novembre 2026, les mainteneurs de Traefik ont publié trois avis de sécurité concernant ce proxy qui dirige les requêtes vers les applications. Deux défauts peuvent contourner des contrôles d’authentification dans certaines configurations ; le troisième menace la disponibilité.
Le premier touche ForwardAuth lorsque le serveur d’authentification utilise NTLM ou SPNEGO/Kerberos. Il complète une correction précédente et concerne Traefik 2 jusqu’à 2.11.61, ainsi que 3.0.0 à 3.7.17 et 3.8.0-rc.1. Le second affecte le fournisseur Kubernetes Ingress NGINX, avec plusieurs Ingress partageant un hôte et l’authentification par certificat client : versions 3.7.15 à 3.7.17 et 3.8.0-rc.1. Les deux avis indiquent 7,0 sur 10 selon CVSS v4.
Le troisième concerne la compression zstd, depuis 3.1.0 jusqu’à 3.7.17, ainsi que 3.8.0-rc.1. Les mainteneurs décrivent une consommation d’environ 18 Mio par réponse simultanée, ramenée sous 1 Mio par le correctif. Son score CVSS v4 est de 8,7 ; Traefik 2 n’est pas concerné.
Les versions corrigées sont 3.7.18 et 3.8.0-rc.2, cette dernière restant une préversion, et 2.11.62 pour ForwardAuth. Les anciennes branches 3.x en fin de vie doivent migrer. Aucun identifiant CVE ni exploitation active n’est signalé dans les trois fiches consultées : ces avis documentent des risques, pas une campagne d’attaque observée.
Sources :
