Traefik : le CERT-FR alerte sur le mTLS Kubernetes (Ingress NGINX) — v3.7.15 requis

Ce que dit le CERT-FR

Le 16 octobre 2026, le CERT-FR diffuse l’avis CERTFR-2026-AVI-1330 sur plusieurs vulnérabilités dans Traefik. Le résumé officiel indique qu’un attaquant pourrait provoquer une atteinte à la confidentialité des données et un contournement de la politique de sécurité. Sont touchées les versions antérieures à v3.7.15. L’Agence s’appuie sur deux bulletins GitHub Security Advisory publiés le même jour par l’éditeur.

mTLS silencieusement désactivé sur un hôte partagé

GHSA-p8wx-ph99-xgcr (gravité High, score 7.0 CVSS v4) concerne le provider Kubernetes Ingress NGINX de Traefik (versions ≥ v3.7.0-ea.1 et ≤ v3.7.14). Lorsqu’un Ingress configure l’authentification client TLS avec l’annotation `nginx.ingress.kubernetes.io/auth-tls-secret`, cette protection peut être désactivée sans message d’erreur si un autre Ingress déclare un chemin sur le même nom d’hôte sans les mêmes réglages auth-tls. Traefik attache alors l’option TLS de client-auth par Ingress plutôt que par hôte ; les options contradictoires sur l’hôte font retomber Traefik sur les TLS options par défaut, qui ne demandent pas de certificat client, sauf si `core.strictTLSOptions` est activé. Un attaquant distant sans privilèges pourrait atteindre des backends qui devaient exiger un certificat client.

Isolement inter-namespaces et cache TLS

GHSA-28hp-c82p-8vqj (gravité Low, score 2.1) touche les versions ≥ v3.7.11 et ≤ v3.7.14. Avec `allowCrossNamespaceResources` désactivé (valeur par défaut), le contrôle cross-namespace sur l’annotation auth-tls-secret ne s’exécute que lors de la première construction d’une TLS-option de client-auth : un Ingress ultérieur qui référence un secret CA déjà utilisé par un autre Ingress réutilise l’option TLS partagée sans être revérifié. Un utilisateur autorisé à créer des Ingress dans un namespace pourrait ainsi faire appliquer un secret CA d’un autre namespace sur ses propres routes, contournant l’isolement configuré, et déduire l’existence de ce secret — sans en lire le contenu. Le comportement date du partage des TLS-options client-auth entre Ingresses introduit en v3.7.11.

• Périmètre : clusters où Traefik v3.7.x expose des routes via le provider Ingress NGINX (migration depuis ingress-nginx ou cohabitation d’annotations nginx).
• Correctif : monter Traefik en v3.7.15 (release tag éditeur du 16 octobre 2026).
• Mitigation transitoire (faille High) : activer `core.strictTLSOptions` si vous ne pouvez pas patcher immédiatement — le bulletin éditeur le cite comme moyen d’éviter le repli vers les TLS options permissives.
• Revues Ingress : un seul hôte ne doit pas mélanger des routes avec et sans auth-tls-secret ; documenter qui peut créer des Ingress par namespace.
• Traefik v2 : non affecté (provider absent) ; Traefik v3 < v3.7.0 : l’annotation auth-tls-secret n’existait pas encore.