Traefik Sicherheitsupdate: Docker Compose sicher auf 2.11.56 oder 3.7.12 aktualisieren

Mehrere Sicherheitsprobleme, auslaufender Support für ältere Versionszweige und eine Schutzfunktion, die nach dem Update nicht automatisch aktiv ist: Genau diese Kombination schafft derzeit eine konkrete Betreiberlücke bei Traefik Proxy. Wer lediglich ein neues Container-Image lädt, hat zwar den aktualisierten Programmstand, nutzt aber noch nicht zwingend alle vorgesehenen Schutzmaßnahmen.

Traefik Labs nennt für das Sicherheitsupdate vom 26. August 2026 die Versionen 2.11.56 und 3.7.12. Betroffen sind vor allem öffentlich erreichbare Reverse Proxys, die HTTP-Anfragen an Anwendungen, Authentifizierungsdienste oder Verwaltungsoberflächen weiterleiten. Installationen ohne extern erreichbare Einstiegspunkte besitzen eine kleinere Angriffsfläche, sollten wegen der veröffentlichten Korrekturen aber ebenfalls kontrolliert aktualisiert werden.

Was Traefik am 26. August 2026 korrigiert hat

Die Herstellerankündigung ordnet dem Update mehrere GitHub Security Advisories zu. Zum Zeitpunkt der Veröffentlichung waren die zugehörigen CVE-Kennungen laut Traefik teils noch ausstehend. Eine abschließende CVSS-Einstufung oder eine belastbare Aussage zur aktiven Ausnutzung lassen sich daraus noch nicht ableiten. Betreiber sollten deshalb weder Entwarnung geben noch eine bereits laufende Angriffswelle behaupten.

Vor produktiven Änderungen ist immer die aktuelle Herstellerseite zu prüfen, weil nach Redaktionsstand weitere Versionen erschienen sein können.

Warum das neue Image allein nicht genügt

Für eine der Advisories führt Traefik die Einstiegspunktoption aliasHeadersStrategy ein. Sie behandelt HTTP-Header, deren Namen von nachgelagerten Anwendungen auf denselben Variablennamen normalisiert werden können. Beispielsweise betrachtet Go X-Auth-User, X_Auth_User und X.Auth.User als unterschiedliche Header. CGI-, WSGI-, PHP- oder manche NGINX-basierte Backends können solche Namen dagegen auf dieselbe Variable abbilden.

Dadurch kann ein manipulierter Alias möglicherweise an einer Middleware vorbeigelangen und vom Backend wie ein vertrauenswürdiger Header gelesen werden. Das ist besonders relevant, wenn Traefik Header für ForwardAuth, BasicAuth, Client-Zertifikate oder eigene Zugriffskontrollen setzt. Die neue Option verwendet standardmäßig keep. Dieses Verhalten erhält die bisherige Kompatibilität, beseitigt die betreffende Betreiberlücke aber nicht. Traefik empfiehlt für normalisierende Backends delete oder reject.

• keep leitet Alias-Header unverändert weiter und ist der Standard.
• delete entfernt Headernamen mit anderen Zeichen als Buchstaben, Ziffern und Bindestrichen.
• reject weist die gesamte Anfrage mit HTTP 400 zurück.
• delete ist häufig der verträglichere Startpunkt für bestehende Anwendungen.
• reject macht fehlerhafte oder auffällige Anfragen deutlicher sichtbar, kann aber legitime Clients sofort stören.

Vor der Aktivierung muss geprüft werden, ob eine Anwendung bewusst Headernamen mit Unterstrichen, Punkten oder anderen Sonderzeichen verwendet. Traefik kann nicht unterscheiden, ob ein solcher Header legitim oder Teil eines Spoofing-Versuchs ist.

Schritt für Schritt: Docker-Compose-Update

Wechseln Sie in das Verzeichnis der produktiven Compose-Datei, hier beispielhaft /opt/traefik mit Dienstnamen traefik. Passen Sie beide Werte an Ihre Umgebung an.

cd /opt/traefik
sudo docker compose ps
sudo docker compose config --images
sudo docker compose exec traefik traefik version

Backup von Compose-Datei und Laufzeitdaten inklusive Zertifikaten anlegen, bevor etwas verändert wird:

backup_dir="/var/backups/traefik/$(date +%Y%m%d-%H%M%S)"
sudo install -d -m 0700 "$backup_dir"
sudo tar -czf "$backup_dir/traefik-config.tar.gz" docker-compose.yml .env config dynamic acme.json 2>/dev/null || true
sudo tar -tzf "$backup_dir/traefik-config.tar.gz"

Image-Version fest eintragen statt latest zu verwenden, und Header-Schutz aktivieren:

services:
  traefik:
    image: traefik:v3.7.12
    command:
      - "--entryPoints.web.address=:80"
      - "--entryPoints.web.http.aliasHeadersStrategy=delete"
      - "--entryPoints.websecure.address=:443"
      - "--entryPoints.websecure.http.aliasHeadersStrategy=delete"

Wer vorerst im 2.11-Zweig bleiben muss, setzt image: traefik:v2.11.56. Dieser Zweig hat laut Hersteller nur noch begrenzten Sicherheitssupport. Das Update auf 2.11.56 ist deshalb nur eine kurzfristige Absicherung, keine dauerhafte Lösung.

Konfiguration validieren, Image ziehen, kontrollierten Neustart nur des Traefik-Dienstes durchführen:

sudo docker compose config --quiet
sudo docker compose pull traefik
sudo docker compose up -d --no-deps --force-recreate traefik
sudo docker compose exec traefik traefik version

Logs, Erreichbarkeit und Header-Verhalten prüfen:

sudo docker compose logs --since=10m traefik | grep -Ei 'error|fatal|panic|aliasHeadersStrategy|certificate'
curl -fsS -o /dev/null -w 'HTTPS: %{http_code}\n' https://example.org/
curl -sS -o /dev/null -w '%{http_code}\n' -H 'X_Test_Header: kontrolltest' https://example.org/

Bei reject sollte die Testanfrage mit dem Sonderheader HTTP 400 liefern. Bei delete antwortet die Anwendung normal, erhält den Alias-Header aber nicht mehr. Testen Sie zusätzlich Anmeldung, Weiterleitungen, Zertifikatsauslieferung und WebSockets.

• Containerstatus ist running oder healthy.
• Die erwartete Traefik-Version läuft tatsächlich.
• HTTP und HTTPS liefern die vorgesehenen Antworten.
• Authentifizierte Routen akzeptieren keine umgangenen Header.
• ACME-Zertifikate bleiben vorhanden und gültig.
• Provider wie Docker oder File werden ohne Fehler geladen.
• WebSocket- oder Streaming-Verbindungen funktionieren weiterhin.
• Die Logs zeigen keine Neustartschleife.

Rollback bei Fehlern

Treten nach dem Update Störungen auf, sichern Sie zuerst die aktuellen Logs. Stellen Sie danach die vorherige Compose-Datei und Konfiguration aus dem Backup wieder her. Ein Rollback auf eine verwundbare Version sollte nur zur kurzfristigen Wiederherstellung erfolgen. Begrenzen Sie währenddessen die externe Erreichbarkeit und untersuchen Sie die Ursache.

sudo docker compose logs --since=30m traefik > /tmp/traefik-update-failure.log
sudo tar -xzf "$backup_dir/traefik-config.tar.gz" -C /opt/traefik
sudo docker compose config --quiet
sudo docker compose up -d --no-deps --force-recreate traefik

Falls nur aliasHeadersStrategy eine Altanwendung stört, sollte nicht sofort das gesamte Image zurückgesetzt werden. Prüfen Sie zunächst, welcher Client oder Backenddienst einen nicht kanonischen Headernamen benötigt. Eine vorübergehende Rückkehr zu keep stellt Kompatibilität her, lässt die Schutzwirkung aber entfallen und muss deshalb dokumentiert, zeitlich begrenzt und durch Zugriffsbeschränkungen flankiert werden.

Wie dringend ist das Update?

Öffentlich erreichbare Traefik-Instanzen mit Authentifizierungs-Middlewares, benutzerdefinierten Request-Headern oder Backends, die Headernamen normalisieren, sollten in einem kurzfristigen Wartungsfenster aktualisiert und gehärtet werden. Für interne Instanzen ohne nicht vertrauenswürdige Clients kann das Update geplant erfolgen, sollte wegen der mehreren Advisories und des Supportendes älterer Zweige aber nicht aufgeschoben werden.

Der Herstellerbeitrag nennt keine bestätigte aktive Ausnutzung. Da die CVE-Zuordnung und weitere Bewertungsdaten zum Veröffentlichungszeitpunkt teils noch ausstanden, bleibt die genaue Kritikalität einzelner Lücken teilweise offen. Maßgeblich sind deshalb die drei konkreten Entscheidungen: unterstützten Versionszweig verwenden, korrigiertes Image tatsächlich starten und aliasHeadersStrategy nach einem Kompatibilitätstest ausdrücklich setzen.

Passende Anleitungen auf S-EDV

• Traefik als Docker Reverse Proxy mit HTTPS einrichten: Grundkonfiguration für Router, Dienste, TLS und Docker Labels.
• Docker Compose mit Secrets, Healthchecks und Non-Root absichern: Zusätzliche Maßnahmen für einen belastbaren Containerbetrieb.

Quellen

• Traefik Labs: Sicherheitsupdate vom 26. August 2026
• Traefik Dokumentation: Headers with Aliasing Names
• GitHub: Traefik Proxy 3.7.12 Release Notes