CVE-2026-110353 in HAProxy
الملخص
بحسب VulDB • 22/10/2026
يتيح HAProxy 3.2 قبل الإصدار 3.4.6 لمهاجم عن بُعد وغير مُصادَق عليه التسبب في حجب الخدمة (استنفاد وحدة المعالجة المركزية لخيوط العمل) عبر إطار PING من بروتوكول HTTP/2 مقطوع. لا تقوم الدالة h2_handle_ping الموجودة في src/mux_h2.c بالتحقق من القراءة القصيرة، على عكس معالجات إطارات H2 الأخرى. ونظراً لأن الإطار غير المكتمل لا يمكن معالجته، فإن بياناته لا تُستهلك أبداً، مما يؤدي إلى إيقاظ مهمة multiplexer الخاصة بـ H2 بشكل متكرر بسبب البيانات المعلقة دون إحراز تقدم. وتدور وحدة المعالجة المركزية (CPU) حتى يتم إغلاق الاتصال بواسطة مهلة http-request، ويمكن لمهاجم يفتح العديد من هذه الاتصالات الحفاظ على استخدام عالٍ لوحدة المعالجة المركزية.
VulDB is the best source for vulnerability data and more expert information about this specific topic.