Traefik 3.7.15 : le carton dit « CVE fixed », les trois fiches n'impriment pas de CVE

Le carton est tamponné CVE. Tu l'ouvres. Dedans, trois enveloppes, et aucune n'a de numéro CVE imprimé. Le carton, lui, est parti le 15 octobre. Les trois enveloppes sont datées du 16. Les trois disent qu'elles sont corrigées dans v3.7.15. Elles ne commencent pas au même numéro de version, elles ne mettent pas l'impact au même étage, et la raison pour laquelle la version 2 n'est pas concernée n'est pas la même phrase. Si tu classes le colis sous « les CVE de Traefik », tu classes un mot qui est sur le carton et pas un numéro qui serait dans les enveloppes.

Le tag v3.7.15 est publié le 2026-10-15T14:41:49Z, par github-actions. L'intertitre dit CVE fixed. Les trois lignes : GHSA-p8wx-ph99-xgcr, GHSA-ww7c-q3mv-xx22, GHSA-28hp-c82p-8vqj. J'ai cherché dans le HTML de cette note une chaîne CVE- suivie d'une année et d'un numéro. Je n'en ai pas trouvé. Le mot CVE est dans l'intertitre. Le numéro n'y est pas.

La note dit aussi Important : lire le guide de migration. Elle aligne ensuite des bugfixes qui ne sont pas trois lignes et puis rien. Deux lignes server rejettent CONNECT, l'une quelle que soit la version HTTP, l'autre avant le muxer. Une ligne gateway API monte sigs.k8s.io/gateway-api en v1.6.3. Deux lignes ingress-nginx parlent du sujet des enveloppes : appliquer l'authentification client auth-tls à tout l'hôte, #14057, et corriger le contrôle inter-namespaces sur les options TLS d'un auth-tls-secret partagé, #14066. Deux lignes fastproxy : un test de non-régression pour CR/LF, #13642, et des lectures concurrentes de tampon sur les connexions montées de version, #14023. Une montée de golang.org/x/net en v0.60.0. Je ne range pas CONNECT et ce module Go dans les trois GHSA. La note les imprime à côté. Elle ne dit pas que ce sont eux.

Trois fiches du 16, trois plages, trois scores

Les trois avis sont publiés le 16 octobre 2026 par kevinpollet. Le paquet est github.com/traefik/traefik/v3. Les trois ont un en-tête CVE ID. Dans le texte lu, rien n'est imprimé dessous avant l'en-tête Weaknesses. Le HTML des trois pages, cherché le même jour, ne contient pas de chaîne CVE-numéro. Je ne comble pas le blanc.

GHSA-p8wx-ph99-xgcr, High, score affiché 7.0. Le fournisseur Ingress NGINX désactive en silence le mTLS posé par l'annotation nginx.ingress.kubernetes.io/auth-tls-secret, quand un autre Ingress déclare un chemin sur le même hôte sans les mêmes réglages. L'option TLS est attachée par Ingress, pas par hôte. En cas de conflit, Traefik retombe sur les options TLS par défaut, qui ne demandent pas de certificat client, sauf si core.strictTLSOptions est activé. Un attaquant distant non authentifié peut alors atteindre les backends qui devaient exiger un certificat. Touché : >= v3.7.0-ea.1, <= v3.7.14. Corrigé : v3.7.15. v2, et v3 avant v3.7.0, ne sont pas concernés : le support de cette annotation arrive en v3.7. Le vecteur : CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N. Confidentialité, intégrité et disponibilité du système vulnérable : aucune. Confidentialité et intégrité du système suivant : hautes. Disponibilité suivante : aucune. Les faiblesses nommées : CWE-287 et CWE-636, ne pas échouer de façon sûre.

GHSA-ww7c-q3mv-xx22, High, score affiché 8.2. Course sur un bufio.Reader partagé après une montée de version HTTP/1 dans FastProxy, qui fait paniquer tout le processus. Seulement si experimental.fastProxy est activé. Touché : >= v3.2.0, <= v3.7.14. Corrigé : v3.7.15. v2 n'est pas concerné, parce que FastProxy arrive en v3.2. v3.2 à v3.6 sont concernés et ne sont plus maintenus, donc ils ne recevront pas de correctif : il faut monter vers une 3.7 corrigée. Le vecteur : CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N. Ici, c'est la disponibilité du système vulnérable qui est haute. Les impacts suivants sont à aucune. Faiblesse : CWE-567.

GHSA-28hp-c82p-8vqj, Low, score affiché 2.1. Un succès de cache sur une option TLS saute le contrôle d'autorisation inter-namespaces. Avec allowCrossNamespaceResources désactivé, ce qui est le défaut, le contrôle sur l'annotation auth-tls-secret ne tourne que quand l'option est construite la première fois. Un Ingress plus tard réutilise l'option partagée sans être revérifié. Quelqu'un autorisé à créer des Ingress dans un namespace peut faire appliquer le secret d'autorité d'un autre namespace, et apprendre que ce secret existe et qu'il est utilisé. Le contenu du secret n'est pas divulgué. Touché : >= v3.7.11, <= v3.7.14. Corrigé : v3.7.15. Le partage de ces options commence en v3.7.11. Avant, ce n'est pas concerné. v2 n'est pas concerné, parce que v2 n'a pas le fournisseur Ingress NGINX. Le vecteur : CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:N/SC:L/SI:N/SA:N. Intégrité du système vulnérable : basse. Confidentialité suivante : basse. Faiblesse : CWE-863.

v2 est innocenté trois fois, pas pour la même raison

Les trois fiches finissent au même endroit, v3.7.14, et corrigent au même endroit, v3.7.15. Elles ne commencent pas ensemble. v3.7.0-ea.1, v3.2.0, v3.7.11. Trois planchers. La note du 15 octobre ne recopie aucun de ces planchers. Elle ne dit ni 7.0, ni 8.2, ni 2.1. Elle dit « CVE fixed », puis les trois identifiants.

v2 revient trois fois, avec trois phrases. L'annotation n'existe pas avant v3.7. FastProxy n'existe pas avant v3.2. Le fournisseur Ingress NGINX n'est pas dans v2. Je ne fonds pas ça en « v2 n'est pas concerné, point ». Le point dépend de l'enveloppe.

La note a des numéros de tirage, #14057, #14066, #14023, qui parlent le même sujet que les trois avis : l'hôte entier, le contrôle inter-namespaces, les tampons après montée de version. Les avis, eux, ne recopient pas ces numéros de tirage dans le texte que j'ai lu. Ils pointent le tag v3.7.15. Je ne déclare pas que le tirage est le texte de l'avis. Je les pose l'un à côté de l'autre.

✍️ À toi : le papier que tu as ouvert en premier, le tag du 15 ou une des trois fiches du 16, et si un numéro CVE y était. Le mot CVE est sur le carton. Le numéro, dans ce que j'ai lu, non.

Le 15 octobre 2026, le tag Traefik v3.7.15 dit « CVE fixed » et nomme trois GHSA, à côté d'autres correctifs, dont CONNECT et golang.org/x/net v0.60.0. Le 16, trois avis de kevinpollet détaillent un mTLS désactivé en silence, une panique FastProxy, et un cache qui saute un contrôle de namespace. Les scores affichés sont 7.0, 8.2 et 2.1. Les plages commencent à v3.7.0-ea.1, v3.2.0 et v3.7.11. v2 est écarté trois fois, pour trois raisons. Le HTML des trois avis et celui de la note ne contiennent pas de chaîne CVE-numéro. Le carton a le mot. Les enveloppes ont des GHSA.