漏洞概述 Traefik 的 HTTP/3 (QUIC) TLS 配置选择存在一个关键漏洞，允许未经身份验证的客户端绕过路由器特定的 mTLS 强制执行。当 HTTP/3 在入口点启用时，TLS 握手选择基于精确、区分大小写的 SNI 值，未能匹配通配符主机模式（例如， ）或配置主机名的任何大小写变体。由于 TLS 配置回退到默认的 TLS 配置，这可能不需要客户端证书——客户端可以在不呈现证书的情况下完成 QUIC 握手，而后续的 HTTP 路由层仍将请求分派到受路由器特定 mTLS 策略保护的后台。该问题影响启用 HTTP/3 的部署，其中路由器使用通配符 规则或区分大小写的主机名匹配，路由器特定的 TLSOptions 强制执行客户端证书身份验证，并且 UDP 访问到入口点是可达的。 影响范围 受影响版本： 修复版本： 修复方案 升级到 Traefik 版本 或更高版本以修复此漏洞。 其他信息 CVSS v4 基础指标： - 攻击向量：网络 - 攻击复杂度：低 - 攻击要求：无 - 特权要求：无 - 用户交互：无 - 机密性：无 - 完整性：无 - 可用性：无 CVSS v4 后续系统影响指标： - 机密性：高 - 完整性：高 - 可用性：无 CVE ID：CVE-2024-53622 弱点：CWE-288 信用：kamil-sawicki（报告者） 补丁 GitHub 发布链接 更多信息 如果您有任何问题或评论，请 在此处提出问题。 原始描述 查看原始描述