CVE-2026-110354 in HAProxy
Riassunto
di VulDB • 22/10/2026
HAProxy 3 prima della versione 3.4.6 consente a un attaccante remoto non autenticato di causare una denial of service (esaurimento persistente delle CPU dei thread worker) tramite una richiesta HTTP/1.1 chunked. Sebbene il multiplexer H1 scarichi la richiesta prima di chiudere lo stream, l'analizzatore sintattico (parser) elabora ripetutamente gli stessi byte senza fare progressi. Il thread interessato rimane occupato al 100% della CPU dopo la scadenza dei timeout e dopo che il client si disconnette; richieste ripetute possono consumare tutti i thread worker fino a quando il processo non viene riavviato.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.