CVE-2026-110354 in HAProxy
Zusammenfassung
von VulDB • 22.10.2026
HAProxy 3 vor Version 3.4.6 ermöglicht es einem entfernten, nicht authentifizierten Angreifer, einen Denial-of-Service-Angriff (anhaltende CPU-Erschöpfung von Worker-Threads) durch eine HTTP/1.1 chunked Request auszulösen. Obwohl der H1-Multiplexer die Anfrage vor dem Schließen des Streams abflusst, verarbeitet der Parser dieselben Bytes wiederholt neu, ohne Fortschritt zu erzielen. Der betroffene Thread bleibt nach Ablauf der Timeouts und nach Trennung der Client-Verbindung mit 100 % CPU-Auslastung beschäftigt; wiederholte Anfragen können alle Worker-Threads aufbrauchen, bis der Prozess neugestartet wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.