CVE-2024-45410criticalCWE-345CWE-348

CVE-2024-45410: falha crítica em traefik

HTTP client can remove the X-Forwarded headers in Traefik

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar traefik+ Monitorar github.com/traefik/traefik

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

48Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendcvss 9.8epss 1.5%
da publicação à arma7 dias
Publicada no NVD19 de set.
1ª PoC+7d
Em resumo

O Traefik adiciona cabeçalhos de segurança (como X-Forwarded-Host) nas requisições antes de enviá-las para aplicações, mas atacantes conseguem remover esses cabeçalhos usando truques do HTTP/1.1, enganando a aplicação para confiar em informações maliciosas.

Detalhe técnico

Clientes HTTP/1.1 podem explorar o mecanismo do cabeçalho Connection para marcar cabeçalhos X-Forwarded-* como hop-by-hop, fazendo o Traefik removê-los das requisições antes de chegar à aplicação backend. Isso compromete pressupostos de segurança baseados em cabeçalhos e pode levar a spoofing de host/porta e bypass de autenticação se a aplicação confiar nesses cabeçalhos para roteamento, validação ou decisões de controle de acesso.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Traefik is a golang, Cloud Native Application Proxy. When a HTTP request is processed by Traefik, certain HTTP headers such as X-Forwarded-Host or X-Forwarded-Port are added by Traefik before the request is routed to the application. For a HTTP client, it should not be possible to remove or modify these headers. Since the application trusts the value of these headers, security implications might arise, if they can be modified. For HTTP/1.1, however, it was found that some of theses custom headers can indeed be removed and in certain cases manipulated. The attack relies on the HTTP/1.1 behavior, that headers can be defined as hop-by-hop via the HTTP Connection header. This issue has been addressed in release versions 2.11.9 and 3.1.3. Users are advised to upgrade. There are no known workarounds for this vulnerability.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
traefik · traefik
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — traefik

No mesmo produto, das mais perigosas para as menos.

CVE-2026-85595CRITICALTraefik before v2.11.55 and v3.0.0 through v3.7.10 Authentication Bypass via digestAuthEPSS 2.5%CVE-2022-23632HIGHTraefik skips the router TLS configuration when the host header is an FQDNEPSS 1.7%CVE-2025-54386HIGHTraefik's Client Plugin is Vulnerable to Path Traversal, Arbitrary File Overwrites and Remote Code ExecutionEPSS 1.4%CVE-2022-39271HIGHTraefik HTTP/2 connections management could cause a denial of serviceEPSS 1.4%CVE-2023-47633HIGHUncontrolled Resource Consumption in TraefikEPSS 1.3%CVE-2021-32813MEDIUMDrop Headers via Malicious Connection HeaderEPSS 1.1%