„`html

CVE-2023-54365 – Traefik HTTP/2 DoS Vulnerability

CVE-2023-54365: Traefik HTTP/2 Denial-of-Service Vulnerability

Zusammenfassung

Traefik-Versionen vor 2.10.5 und 3.0.0-beta4 sind anfällig für eine Denial-of-Service (DoS) Schwachstelle in der HTTP/2-Anfrageverarbeitung. Die Vulnerability erbt von Golangs Standard-Library und implementiert die „Rapid Reset“-Technik (CVE-2023-44487, CVE-2023-39325). Ein Remote-Angreifer kann durch schnelle Erstellung und Stornierung von HTTP/2-Streams Serverressourcen erschöpfen und Dienstverfügbarkeit beeinträchtigen.

Betroffene Systeme

Traefik < 2.10.5
Traefik 3.0.0-beta4
Alle Betriebssysteme mit betroffenen Traefik-Versionen
Container-Umgebungen (Docker, Kubernetes) mit vulnerablem Traefik

Technische Details

Die Schwachstelle basiert auf einer HTTP/2-Implementierungslücke in der Go-Standardbibliothek. Der Angreifer nutzt die „Rapid Reset“-Methode: Er öffnet HTTP/2-Streams und sendet RST_STREAM-Frames unmittelbar nach HEADERS-Frames. Dies führt zu einer Ressourcenerschöpfung durch:

Übermäßige CPU-Auslastung durch Stream-Management
Speichererschöpfung durch Stream-Datenstrukturen
Bandbreitenverschwendung

CVSS Score: 7.5 (High) – Netzwerk-basierter Angriffsvektor ohne Authentifizierung erforderlich.

Empfohlene Massnahmen

Sofortiges Update: Upgraden Sie auf Traefik 2.10.5 oder höher
Go-Runtime aktualisieren: Nutzen Sie Go 1.20.10 oder 1.21.3+
HTTP/2 begrenzen: Implementieren Sie Stream-Limits und Rate-Limiting
Monitoring: Überwachen Sie Stream-Erstell- und Löschraten
WAF-Regeln: Implementieren Sie abnormale HTTP/2-Muster-Erkennung
Netzwerk-Schutz: Nutzen Sie DDoS-Mitigation-Services

Bewertung

Kritikalität: Hoch – Produktive Traefik-Instanzen sind unmittelbar gefährdet. Die fehlende Authentifizierung senkt die Angriffsschwelle erheblich. Unverzügliches Patching wird empfohlen.

„`

🟠 CVE-2023-54365: High Schwachstelle