Traefik ForwardAuthがNTLMやKerberosの接続単位認証を共有プールで処理する際、他ユーザーの認証済み接続を再利用する問題（GHSA-hrpp-p4fc-wwf8、HIGH・CVSS 7.0）。
30秒でわかる / THE SIGNAL
Traefik ForwardAuthがNTLMやKerberosの接続単位認証を共有プールで処理する際、他ユーザーの認証済み接続を再利用する問題（GHSA-hrpp-p4fc-wwf8、HIGH・CVSS 7.0）。
公表された問題
TraefikのForwardAuthミドルウェアは、NTLMやSPNEGO/Kerberos Negotiateなど接続単位の認証を使う認証サーバーに対し、クライアント間で共有される接続プールから認証要求を送る。このため、別の利用者が認証した接続が未認証クライアントの要求に再利用され、認証済みユーザーのIDがバックエンドへ伝播する恐れがある。GHSA-hrpp-p4fc-wwf8、CVSS v4.0 7.0（High）。
影響バージョンと成立条件
Traefik v2.11.59以前の該当系列、およびv3.0.0からv3.7.15が影響する。ForwardAuthとNTLM/Kerberosなど接続単位認証の組み合わせが成立条件。v3.7のKubernetes Ingress NGINX providerのauth-url注釈にも同様の問題がある。すべてのForwardAuth構成が一律に影響するわけではない。
修正版と管理者の対応
v2.11.60またはv3.7.16へ更新する。v3.0〜v3.6はサポート終了で系列内修正版が提供されないため、サポート対象の修正版へ移行する。認証サーバーの方式、authResponseHeaders、接続再利用の影響を点検する。公式勧告：https://github.com/traefik/traefik/security/advisories/GHSA-hrpp-p4fc-wwf8
悪用状況と編集部の視点
2026年10月27日時点、開発元の勧告に実環境での悪用確認は明示されていない。リバースプロキシの認証処理ではHTTP要求単位と接続単位の境界を混同しない設計が重要になる。