CVE-2026-26081

HAproxy w wersji 1.6.x przed 1.6.6, w przypadku gdy reguła reqdeny zwraca odmowę, pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez dostęp do niezainicjowanej pamięci, co prowadzi do awarii. Może to również prowadzić do innych nieokreślonych skutków.

HAProxy Community Edition w wersjach 3.2.x do 3.3.x przed 3.3.3 może wejść w pętlę lub ulec awarii z powodu nieprawidłowego przetwarzania varint. Problem dotyczy również HAProxy Enterprise i ALOHA.

HAProxy do wersji 3.4.0 zawiera podatność na dereferencję wskaźnika null w funkcji hpack_dht_insert() w pliku src/hpack-tbl.c. Błąd występuje, gdy funkcja hpack_dht_defrag() zwraca wartość null z powodu wyczerpania puli pamięci, a jej wynik nie jest walidowany. Atakujący może wykorzystać tę podatność, wysyłając żądania z wstawieniami do dynamicznej tablicy HPACK przy ograniczonej pamięci, co prowadzi do awarii procesów roboczych HAProxy i odmowy usługi.

HAProxy do wersji 3.4.0 zawiera podatność na przepełnienie liczby całkowitej w strukturze fcgi_conn w polu drl. Gdy contentLength wynosi 65535, a paddingLength jest większe lub równe 1, pole drl zawija się do 0, co prowadzi do błędnego parsowania bufora jako nowych nagłówków ramek FCGI. Umożliwia to złośliwym backendom FastCGI desynchronizację parsera ramek FCGI.

W HAProxy przed wersją 3.3.6 wykryto podatność w parserze HTTP/3. Nie sprawdza on, czy długość odebranego ciała żądania zgadza się z wcześniej zadeklarowanym nagłówkiem Content-Length, gdy strumień jest zamykany ramką z pustym ładunkiem. Problem istnieje od wersji 2.6.

HAProxy w wersjach od 2.0.32 do 2.6.14 oraz od 2.7.0 do 2.8.1 przekazuje puste nagłówki Content-Length, co narusza sekcję 8.6 RFC 9110. W rzadkich przypadkach serwer HTTP/1 za HAProxy może zinterpretować ładunek jako dodatkowe żądanie.