CVE-2026-121966 Fuga de identidad NTLM/Negotiate en ForwardAuth de Traefik
Traefik 2.x anterior a 2.11.60 y 3.x anterior a 3.7.16 envía subconsultas ForwardAuth (y, en 3.7, solicitudes auth-url de Ingress NGINX) a través de un pool de conexiones al servidor de autenticación compartido por todos los clientes, exponiendo autenticación NTLM o Negotiate ligada a la conexión. Un atacante no autenticado puede reutilizar la conexión autenticada de otro usuario, recibiendo la identidad de la víctima mediante authResponseHeaders para acceder a backends como ese usuario.
CVSS 3.1
- CVSS 4.07.0 · alta
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 26
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
traefik
hasta antes de 2.11.60
traefik
desde 3.0.0 hasta antes de 3.7.16
Qué hacer
- Verificá si usás traefik y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.7 ALTA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadNinguna
CVSS 4.0 · 7.0 ALTA
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Alta
- Integridad (sistemas posteriores)Alta
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Traefik 2.x before 2.11.60 and 3.x before 3.7.16 sends ForwardAuth subrequests (and, in 3.7, Ingress NGINX auth-url requests) through an auth-server connection pool shared by all clients, exposing connection-bound NTLM or Negotiate authentication. An unauthenticated attacker can reuse another user's authenticated connection, receiving the victim's identity via authResponseHeaders to access backends as that user.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.