概要
Traefikは、HTTPリバースプロキシおよびロードバランサーとして広く利用されています。このTraefikのBasicAuthミドルウェアに、タイミング攻撃（Timing Attack）を利用したユーザー名列挙の脆弱性（CVE-2026-32595）が報告されました。
この脆弱性は、認証プロセスにおいて、存在するユーザー名と存在しないユーザー名とで応答時間に顕著な差が生じることを悪用します。具体的には、存在するユーザー名に対してはbcryptパスワード比較のために約166ミリ秒かかるのに対し、存在しないユーザー名に対しては約0.6ミリ秒で即座に応答が返されると報告されています。この約298倍の応答時間の差をネットワーク経由で観測することで、認証されていない攻撃者が有効なユーザー名を確実に特定できる可能性があります。
本脆弱性の深刻度は「MEDIUM」と評価されています。
影響範囲
以下のTraefikのバージョンが本脆弱性の影響を受けると報告されています。
- バージョン 2.11.40 およびそれ以前
- バージョン 3.0.0-beta1 から 3.6.11 まで
- バージョン 3.7.0-ea.1
想定される影響
本脆弱性が悪用された場合、以下のような影響が想定されます。
- 攻撃者がシステムに存在する有効なユーザー名を特定できる可能性があります。
- 特定されたユーザー名は、その後のブルートフォース攻撃やパスワード推測攻撃の足がかりとして悪用されるリスクがあります。
- 直接的なシステム侵害には繋がらないものの、認証プロセスを突破するための重要な情報収集に利用される可能性があります。
攻撃成立条件・悪用状況
攻撃が成立するためには、認証されていない攻撃者がネットワーク経由でTraefikのBasicAuthミドルウェアにアクセスできる必要があります。攻撃者は、ユーザー名の存在有無による応答時間の差を観測することで、有効なユーザー名を列挙できるとされています。
現時点では、この脆弱性が実際に悪用されたという具体的な報告は確認されていません。
推奨対策
今すぐできる対策（優先度：高）
- Traefikのアップデート: 最も効果的かつ推奨される対策は、本脆弱性が修正されたバージョンへ速やかにアップデートすることです。以下のバージョンで修正が適用されています。
- バージョン 2.11.41
- バージョン 3.6.11
- バージョン 3.7.0-ea.2
中長期的な対策
- 多要素認証 (MFA) の導入: ユーザー名が列挙された場合でも、パスワードのみでの認証突破を防ぐために、多要素認証の導入を検討してください。
- ログ監視の強化: 不審な認証試行や異常なアクセスパターンを早期に検知できるよう、アクセスログの監視を強化してください。
- WAF (Web Application Firewall) の導入: タイミング攻撃のような特定のパターンを検知・ブロックできるWeb Application Firewall (WAF) の導入を検討することも有効です。
一時的な緩和策
現時点では、本脆弱性に対する直接的な一時緩和策は報告されていません。可能な限り速やかに修正版へのアップデートをご検討ください。
確認方法
ご自身の環境で利用しているTraefikのバージョンを確認し、影響を受けるバージョンに該当しないか確認してください。Traefikのバージョンは、通常、コマンドラインで traefik version のように実行することで確認できます。
参考情報
詳細については、以下の情報を参照してください。