TraefikのHTTP/3（QUIC）実装において、TLS構成の選択処理に不備が存在します。HTTP/3が有効な環境で、ワイルドカードホストや大文字小文字を区別しないホスト名設定を使用している場合、TLSハンドシェイクがデフォルト構成へ誤ってフォールバックする可能性があります。その結果、本来クライアント証明書認証（mTLS）が強制されるべきバックエンドに対し、認証なしでリクエストが到達するリスクがあります。攻撃者がエントリポイントへUDPアクセス可能な場合、認証を回避して保護されたサービスへ不正にアクセスされる恐れがあり、CVSSスコア10.0の極めて重大な脆弱性です。
対象ソフト
Traefikは、マイクロサービスやコンテナ環境で広く利用されるオープンソースのHTTPリバースプロキシおよびロードバランサーです。
影響
認証されていないクライアントがmTLS強制を回避し、本来アクセス権限のないバックエンドサービスへリクエストを送信できる。
対応策
Traefikをバージョン3.7.4以降（または修正済みバージョン）へアップデートすること。
