14-16 Mar 2026
Voltar ao catalogo

insecureSkipVerify: true no ServersTransport do Traefik

INFRA-05
CriticalAchado ConfirmadoInfraestruturaRodada 3

Descricao

Traefik nao valida certificado TLS dos backends em develop/homolog. Anotacao usada por api, authserver e angular.

Evidencia
`ingress-k3s-gemini.yml` linhas 6-7: `insecureSkipVerify: true`. `develop/api.yml` linha 79, `develop/authserver.yml` linha 74, `develop/angular.yml` linha 67.
Impacto Tecnico

MITM entre Ingress e pods. Tokens JWT e credenciais sem validacao.

Impacto de Negocio

Comprometimento do ambiente develop pode servir como pivoting para o namespace cargofleet.

Recomendacao

Usar certificados validos emitidos pelo cert-manager.

Arquivos Afetados

.github/kubernetes/ingress-k3s-gemini.yml.github/kubernetes/develop/api.yml

Achados Relacionados

{
  "id": "INFRA-05",
  "title": "insecureSkipVerify: true no ServersTransport do Traefik",
  "severity": "Critical",
  "type": "achado confirmado",
  "category": "infrastructure",
  "description": "Traefik nao valida certificado TLS dos backends em develop/homolog. Anotacao usada por api, authserver e angular.",
  "evidence": "`ingress-k3s-gemini.yml` linhas 6-7: `insecureSkipVerify: true`. `develop/api.yml` linha 79, `develop/authserver.yml` linha 74, `develop/angular.yml` linha 67.",
  "technicalImpact": "MITM entre Ingress e pods. Tokens JWT e credenciais sem validacao.",
  "businessImpact": "Comprometimento do ambiente develop pode servir como pivoting para o namespace cargofleet.",
  "recommendation": "Usar certificados validos emitidos pelo cert-manager.",
  "files": [
    ".github/kubernetes/ingress-k3s-gemini.yml",
    ".github/kubernetes/develop/api.yml"
  ],
  "pass": 3,
  "relatedFindings": [
    "HIGH-06"
  ]
}