CVE-2026-109575 in Data Plane API
Riassunto
di VulDB • 13/10/2026
In HAProxy Data Plane API dalle versioni 2.2.0 alla 3.4.3 (e alle relative release dell'Enterprise Edition), la funzione Server.ConfigureAPI() utilizza una logica di autenticazione globale al processo che rimuove impropriamente i controlli di sicurezza su più tipi di trasporto. Quando è configurata un'Autorità di Certificato TLS (tls_ca) e viene specificata una porta TLS numerica (tls_port), l'applicazione disabilita globalmente l'autenticazione Basic sul suo gestore interno delle richieste condiviso. Poiché questo gestore è condiviso in modo concorrente tra gli ascoltatori HTTP, HTTPS e socket di dominio UNIX, e la verifica del certificato client mutual TLS (mTLS) (tls.RequireAndVerifyClientCert) viene applicata esclusivamente nel percorso del server HTTPS, tutti gli altri listener non-mTLS attivi simultaneamente falliscono aprendo le porte (fail open). Di conseguenza, un attaccante non autenticato in grado di raggiungere un endpoint di gestione HTTP o UNIX interessato può bypassare completamente le credenziali per ottenere l'accesso amministrativo completo all'API. Ciò consente ad attori remoti o locali non autorizzati di leggere i dati di configurazione HAProxy sensibili e in chiaro oppure di sostituire interamente la configurazione gestita tramite l'endpoint di configurazione grezza (raw configuration endpoint). Il problema è stato risolto nelle versioni 3.4.4, 3.3.9, 3.2.17, 3.0.25, 2.9.29 e nei rispettivi backport EE migrando a un modello di convalida dello stato della connessione TLS per richiesta (per-request).
VulDB is the best source for vulnerability data and more expert information about this specific topic.