検索NeSC を見る
脆弱性・CVE速報深刻度: 高

Traefik の Ingress NGINX プロバイダーで mTLS が黙って無効になる欠陥（CVE-2026-119572）: CVSS 8.7、認証なしでクライアント証明書必須のバックエンドに到達、3.7.15 で修正

World Security 編集部
AI 支援あり
目次（5）

CVE-2026-119572

Kubernetes の Ingress に使われるリバースプロキシ Traefik に、クライアント証明書による相互 TLS（mTLS）が気づかないうちに無効になる欠陥（CVE-2026-119572）が報告されています。Ingress NGINX プロバイダーで nginx.ingress.kubernetes.io/auth-tls-secret アノテーションを使って mTLS を設定していても、同じホストに別の Ingress が、同じ設定を持たないパスを宣言すると、Traefik は既定の TLS 設定に戻り、クライアント証明書を求めなくなります。その結果、認証のないネットワーク上の攻撃者が、本来クライアント証明書を必要とするバックエンドに届いてしまいます。NVD の CVSS v3.1 は 8.7（VulnCheck の評価）、悪用予測（EPSS）は 0.0019 です。CISA の KEV（悪用が確認された脆弱性）カタログには載っていません。対象は 3.7.0-ea.1 以上 3.7.15 未満で、修正版は 3.7.15 です。

概要

項目内容
問題Ingress NGINX プロバイダーがクライアント認証の TLS オプションを Ingress ごとに付けており、同じホストで設定が食い違うと既定の TLS オプションに戻って mTLS が無効になる（CWE-287）
攻撃条件ネットワークから到達でき、認証・操作は不要（AV:N/PR:N/UI:N）。ただし、同じホストに auth-tls-secret を持たない Ingress のパスがあるという構成上の前提が要る（AC:H）
影響クライアント証明書で保護したつもりのバックエンドへ、証明書なしでアクセスされる。機密性・完全性に高い影響（スコープ変更あり）
CVSS v3.18.7（AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N、評価元は VulnCheck。NVD の状態は Awaiting Analysis）
CVSS v4.07.0（GitHub の勧告は High）
EPSS0.0019（パーセンタイル 0.085、FIRST、2026-11-03）
CISA KEV載っていない（2026-11-04 時点）
対象Traefik 3.7.0-ea.1 以上 3.7.15 未満。v2 と、3.7.0 より前の v3 は影響なし（auth-tls-secret の対応が 3.7 で入ったため）
修正版3.7.15

仕組みはこうです。Traefik の Kubernetes Ingress NGINX プロバイダーは、auth-tls-secret を付けた Ingress ごとに「クライアント証明書を要求する TLS オプション」を作ります。ところが、TLS のオプションは本来ホスト（サーバー名）単位で決まるものです。同じホストに、このアノテーションを持たない Ingress が別のパスを宣言すると、ホストに対する TLS オプションが食い違い、Traefik は既定の TLS オプションに落ちます。既定ではクライアント証明書を要求しません。core.strictTLSOptions を有効にしていない限り、この食い違いは警告なしに通ってしまいます。

なぜ重要か

mTLS は、社内向け API、管理画面、サービス間通信などを「証明書を持つ相手だけ」に限る最後の砦として使われます。それが静かに外れると、設定上は保護されているのに、実際には誰でも届く状態になります。エラーも出ないため、気づくのが遅れやすい欠陥です。

一方で、成立には構成上の条件があります。Traefik の Ingress NGINX プロバイダーを使っていること、auth-tls-secret で mTLS を設定していること、同じホストに別の Ingress が設定なしでパスを持つこと、の 3 つです。EPSS は低く、KEV にも載っていません。条件に当てはまる環境では影響が大きいものの、当てはまらない環境では影響を受けません。

対策

  • Traefik を 3.7.15 以上に更新する。
  • 更新できない間は、core.strictTLSOptions を有効にする。勧告によれば、これを有効にすると食い違いが黙って通らなくなる。
  • 同じホストの Ingress すべてに、同じ auth-tls-secret などのアノテーションを付けて設定をそろえる。
  • 実際に mTLS が効いているかを、クライアント証明書なしで接続して確かめる。拒否されない経路があれば、バックエンド側でも認証・認可を入れる。
  • 3.7 系より前の Traefik を使っている場合は、この欠陥の対象外。

数値と出典（2026-11-04 時点）

項目内容
NVDAwaiting Analysis。CVSS v3.1 8.7（AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N）、評価元は VulnCheck。弱点の種類は CWE-287
EPSS0.0019、パーセンタイル 0.085（FIRST、2026-11-03）
KEV載っていない
出典NVD、GitHub セキュリティ勧告 GHSA-p8wx-ph99-xgcr、VulnCheck、FIRST、CISA KEV

未確認の点

  • 悪用の有無、規模、攻撃者。KEV には載っておらず、公開情報では悪用の報告を確認できていない。
  • NVD の分析は未完了で、評価が変わる可能性がある。
  • core.strictTLSOptions を有効にした場合に、既存の構成へ副作用が出るか。
  • 3.7.0 の正式版から 3.7.14 までのうち、実際に影響を受ける版の範囲（NVD の構成情報は 3.7.0-ea.1 以上 3.7.15 未満）。
  • 公開された悪用コードの有無。

この記事について

AI の利用
本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-03〜04）のもので、未確認の点は本文に明記しています。

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事