CVE-2026-90678 in HAProxy
Riassunto
di VulDB • 13/09/2026
È stato rilevato un problema in HAProxy dalle versioni 3.3.0 alla 3.4.4 e nelle versioni da 3.5-dev1 a 3.5-dev5. Lo sfruttamento richiede un frontend HTTP/3: HAProxy deve essere compilato con il supporto QUIC e configurato con un listener bind per QUIC, e il traffico interessato deve raggiungere un backend tramite HTTP/1.1 utilizzando la codifica di trasferimento chunked su una connessione riutilizzata. In queste condizioni, quando una richiesta HTTP/3 non contiene l'intestazione Content-Length, il multiplexer HTTP/3 accredita la lunghezza dichiarata nell'intestazione del frame DATA alla stima nota dell'input-payload dell'endpoint dello stream nel momento in cui tale intestazione viene decodificata, prima che il payload sia stato ricevuto, e tale lunghezza dichiarata viene emessa verbatim come dimensione della chunk di HTTP/1.1. Un client remoto non autenticato che dichiara un payload maggiore di quanto effettivamente invia e poi termina lo stream causa l'annuncio da parte di HAProxy di una chunk più grande dei byte scritti e il ritorno della connessione al pool idle in uno stato desincronizzato. Il risultato è la potenziale HTTP request smuggling su connessioni backend riutilizzate: un attaccante può inserire una richiesta oltre a una regola frontend, come un http-request deny basato sul path, in modo che la richiesta smuggled non venga mai vista dall'analisi HTTP di HAProxy e possa causare il consumo delle richieste dei client concorrenti, incluse le loro request line e le intestazioni Authorization, come corpo della richiesta dell'attaccante, facendole perdere. Lo sfruttamento non è deterministico; dipende da una race condition con il pooling delle connessioni backend, riuscendo nella maggior parte ma non in tutte le prove durante i test, e può essere ripetuto liberamente. Il meccanismo è stato introdotto in 3.3-dev10; le versioni 3.2.x e precedenti sono non colpite.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.