Traefik の crossProviderNamespaces が Service アノテーション経由で回避される（CVSS 9.8）

Critical（CVSS 9.8）に分類されるTraefik Labs Traefikの脆弱性です。**Traefik の Kubernetes Ingress プロバイダで、`traefik.ingress.kubernetes.io/service.middlewares` という Service のアノテーションに対して `crossProviderNamespaces` の制限が効いていない。** `crossProviderNamespaces` は「別のプロバイダ／名前空間のミドルウェアを参照してよいか」を制御する設定である。 **結果として、許可リストから外されている名前空間限定のテナントが、運用者が所有するミドルウェアを自分の Service に取り付けられる。** そのミドルウェアがバックエンドの認証情報を注入する種類のものであった場合、テナントは自分が制御するバックエンドでその認証情報を受け取れる。 **CVSS v3.1 基本値は 9.8（Critical）で、AV:N・PR:N・UI:N。** マルチテナントの Kubernetes クラスタで、名前空間ごとに権限を分けている構成が想定される被害範囲である。単一テナントで運用している場合、この欠陥を踏む前提そのものが成立しない。 **2026年9月22日時点で CISA KEV には収載されていない。** 悪用が確認されたという公開情報は無い。

**v3.7.11 以降へ更新する。回避策は公表されていない。** GitHub のセキュリティアドバイザリ（GHSA-m6wx-622r-48r9）は、影響を受けるのは v3.7.1 以上 v3.7.10 以下であり、修正は v3.7.11 に入ったとしている。 **影響するのは v3.7 系だけである。** `crossProviderNamespaces` が導入されたのが v3.7.1 なので、v2 系および v3.0〜v3.6 は対象外とされている。自分の環境が v3.7 系かどうかを先に確認すれば、対応の要否が早く決まる。 **アドバイザリに回避策の記載は無く、更新のみが対処として示されている。** 更新までの間の緩和としては、マルチテナント構成で名前空間をまたぐミドルウェア参照を実際に使っていないなら、`crossProviderNamespaces` に依存した権限分離を前提にしない運用へ一時的に切り替える、という判断はあり得る。ただしこれはベンダーが示した回避策ではない。

Traefik Labs Traefik を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-85594）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。