CVE-2026-109575 in Data Plane API
Zusammenfassung
von VulDB • 13.10.2026
In HAProxy Data Plane API von Version 2.2.0 bis 3.4.3 (sowie entsprechenden Enterprise Edition-Releases) verfügt Server.ConfigureAPI() über eine prozessglobale Authentifizierungslogik, die Sicherheitskontrollen für mehrere Transporttypen unsachgemäß außer Kraft setzt. Wenn ein TLS Certificate Authority-Zertifikat (tls_ca) konfiguriert und ein numerischer TLS-Port (tls_port) angegeben wird, deaktiviert die Anwendung die Basic-Authentifizierung global in ihrem gemeinsam genutzten internen Anforderungs-Handler. Da dieser Handler gleichzeitig von HTTP-, HTTPS- und UNIX-Domain-Socket-Listenern genutzt wird und die gegenseitige TLS-Clientzertifikatsüberprüfung (tls.RequireAndVerifyClientCert) ausschließlich auf dem HTTPS-Serverpfad erzwungen wird, schlagen alle anderen gleichzeitig aktiven Nicht-mTLS-Listener offen durch. Infolgedessen kann ein nicht authentifizierter Angreifer, der Zugriff auf einen betroffenen HTTP- oder UNIX-Verwaltungsendpunkt hat, die Anmeldeinformationen vollständig umgehen und vollen API-Administrationszugriff erlangen. Dies ermöglicht es unbefugten Remote- oder lokalen Akteuren, sensible HAProxy-Konfigurationsdaten im Klartext zu lesen oder die verwaltete Konfiguration über den Raw-Konfigurationsendpunkt vollständig zu ersetzen. Dieses Problem wurde in den Versionen 3.4.4, 3.3.9, 3.2.17, 3.0.25 und 2.9.29 sowie deren jeweiligen EE-Backports behoben, indem auf ein pro-Anforderungs-TLS-Verbindungsstatusvalidierungsmodell umgestellt wurde.
Once again VulDB remains the best source for vulnerability data.