Podatności HAProxy

HAproxy w wersji 1.6.x przed 1.6.6, w przypadku gdy reguła reqdeny zwraca odmowę, pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez dostęp do niezainicjowanej pamięci, co prowadzi do awarii. Może to również prowadzić do innych nieokreślonych skutków.

HAProxy 3 przed wersją 3.4.6 pozwala zdalnemu nieuwierzytelnionemu atakującemu na wywołanie odmowy usługi (trwałe wyczerpanie CPU wątków roboczych) poprzez żądanie HTTP/1.1 z chunked encoding. Parser wielokrotnie przetwarza te same bajty bez postępu, a wątek pozostaje zajęty w 100% nawet po rozłączeniu klienta.

HAProxy 3.2 przed wersją 3.4.6 pozwala zdalnemu nieuwierzytelnionemu atakującemu na wywołanie odmowy usługi (wyczerpanie CPU wątków roboczych) poprzez obciętą ramkę HTTP/2 PING. Funkcja h2c_handle_ping nie sprawdza krótkiego odczytu, co powoduje wielokrotne wybudzanie zadania multipleksera bez postępu i wysokie zużycie CPU.

W HAProxy w wersjach 3.3.0–3.4.4 oraz 3.5-dev1–3.5-dev5 wykryto podatność typu HTTP request smuggling. Wymaga ona frontendu HTTP/3 (kompilacja z obsługą QUIC i nasłuch QUIC) oraz backendu HTTP/1.1 z chunked transfer coding na ponownie używanym połączeniu. Gdy żądanie HTTP/3 nie zawiera nagłówka Content-Length, deklarowana długość z nagłówka ramki DATA jest przedwcześnie zaliczana i wysyłana jako rozmiar chunku HTTP/1.1, co prowadzi do desynchronizacji połączenia.

HAProxy Community Edition w wersjach 3.0 do 3.3 przed 3.3.3 nie sprawdza długości formatu NEW_TOKEN. Podatność dotyczy również HAProxy Enterprise i ALOHA.

HAProxy Community Edition w wersjach 3.2.x do 3.3.x przed 3.3.3 może wejść w pętlę lub ulec awarii z powodu nieprawidłowego przetwarzania varint. Problem dotyczy również HAProxy Enterprise i ALOHA.

HAProxy do wersji 3.4.0 zawiera podatność na dereferencję wskaźnika null w funkcji hpack_dht_insert() w pliku src/hpack-tbl.c. Błąd występuje, gdy funkcja hpack_dht_defrag() zwraca wartość null z powodu wyczerpania puli pamięci, a jej wynik nie jest walidowany. Atakujący może wykorzystać tę podatność, wysyłając żądania z wstawieniami do dynamicznej tablicy HPACK przy ograniczonej pamięci, co prowadzi do awarii procesów roboczych HAProxy i odmowy usługi.

HAProxy do wersji 3.4.0 zawiera podatność na przepełnienie liczby całkowitej w strukturze fcgi_conn w polu drl. Gdy contentLength wynosi 65535, a paddingLength jest większe lub równe 1, pole drl zawija się do 0, co prowadzi do błędnego parsowania bufora jako nowych nagłówków ramek FCGI. Umożliwia to złośliwym backendom FastCGI desynchronizację parsera ramek FCGI.

W HAProxy przed wersją 3.3.6 wykryto podatność w parserze HTTP/3. Nie sprawdza on, czy długość odebranego ciała żądania zgadza się z wcześniej zadeklarowanym nagłówkiem Content-Length, gdy strumień jest zamykany ramką z pustym ładunkiem. Problem istnieje od wersji 2.6.

Nieefektywna złożoność algorytmu w mjson w HAProxy pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez specjalnie spreparowane żądania JSON.

HAProxy w wersjach od 2.0.32 do 2.6.14 oraz od 2.7.0 do 2.8.1 przekazuje puste nagłówki Content-Length, co narusza sekcję 8.6 RFC 9110. W rzadkich przypadkach serwer HTTP/1 za HAProxy może zinterpretować ładunek jako dodatkowe żądanie.