Traefik : une fuite de ressources peut rendre le proxy indisponible à distance
Le 2 novembre 2026, les mainteneurs de Traefik ont détaillé une vulnérabilité de déni de service dans ce proxy utilisé pour acheminer les requêtes vers des applications. Le CERT-FR a publié un avis le même jour.
Le défaut touche précisément les versions 2.11.58 à 2.11.60 et 3.7.14 à 3.7.16. La gestion des connexions vers les serveurs peut conserver des ressources après la fermeture de la connexion cliente. Leur accumulation risque d’épuiser la mémoire, les descripteurs de fichiers et les connexions disponibles, jusqu’à perturber le service.
L’aspect notable est que ce comportement peut être déclenché par un client non authentifié, même lorsqu’aucun serveur utilisant l’authentification NTLM ou Kerberos n’est configuré. FastProxy est également concerné. Les branches antérieures indiquées par l’éditeur, notamment Traefik 3.6 et les versions 2.11.57 ou précédentes, ne présentent pas cette régression.
Les correctifs sont les versions 2.11.61 et 3.7.17. La version 2.11.61 était disponible dès le 30 octobre, avant la publication de l’avis détaillé. La gravité est évaluée à 7,5 sur 10 selon CVSS 3.1. Aucun identifiant CVE n’est affiché dans l’avis consulté, référencé GHSA-xv5x-242w-7hf7.
Les sources ne signalent pas d’exploitation active. Le risque documenté concerne la disponibilité : elles n’établissent ni vol de données ni exécution de code à distance.
Sources :
