注目★★★★★GitHub Advisory
Traefik v3.7.3、SNICheck mTLSバイパス脆弱性 CVE-2026-48491 を修正
30秒で把握
- 1CVE-2026-48491: TraefikのSNICheckがワイルドカードmTLSをバイパスされる高深刻度脆弱性
- 2同一エントリポイントの許可的SNIでハンドシェイク後Hostヘッダー偽装で保護回避
- 3修正済みv3.7.3がリリース済み・HTTPS/HTTP-2経路が対象
要約
TraefikのSNICheckにおいて、ワイルドカードTLSOptionsマッピングが無視される高深刻度の脆弱性CVE-2026-48491が公開された。`Host('*.example.com')`のようなワイルドカードルーターでmTLSを要求設定していても、同一エントリポイント上で別の許可的SNIでTLSハンドシェイクを完了後、Hostヘッダーを書き換えることでクライアント証明書なしにバックエンドへ到達できる。HTTPS/HTTP-2経路が対象でHTTP/3は不要。
あなたへの影響
Traefikでワイルドカードホストルール+TLSOptionsによるmTLSを運用しているチームは、今すぐv3.7.3へアップグレードし、SNIとHostヘッダーの一致検証が機能しているか設定を確認すること。
推奨：mTLS(相互TLS認証)はクライアントとサーバー双方が証明書で認証し合う仕組みで、ゼロトラスト境界防御の要となるため影響範囲が大きい。