CVE-2026-109575
Təsvir
HAProxy Data Plane API 2.2.0-dan 3.4.3-ə qədər olan versiyalarda (və müvafiq Enterprise Edition buraxılışlarında), Server.ConfigureAPI() funksiyasının proses səviyyəli autentifikasiya məntiqi çox sayda nəqliyyat növü üzrə təhlükəsizlik idarəetmələrini yanlış şəkildə ləğv edir. TLS Sertifikat Avtoriteti (tls_ca) konfiqurasiya edildikdə və rəqəmsal TLS portu (tls_port) təyin olunduqda, tətbiq daxili ortaq sorğu emalına (handler) aid Basic autentifikasiyasını qlobal olaraq deaktiv edir. Bu emalçı eyni zamanda HTTP, HTTPS və UNIX domen soket dinləyiciləri arasında paylaşıldığı üçün və qarşılıqlı TLS (mTLS) klient sertifikatı yoxlaması (tls.RequireAndVerifyClientCert) yalnız HTTPS server yolu üzrə tətbiq edildiyi üçün, digər bütün aktiv qeyri-mTLS dinləyiciləri açıq qalır. Nəticədə, təsirlənmiş HTTP və ya UNIX idarəetmə nöqtəsinə çata bilən autentifikasiya olunmamış hücumçu, tam API inzibati giriş əldə etmək üçün kimlik məlumatlarını tamamilə yan keçə bilər. Bu, icazəsiz uzaqdan və ya lokal aktorlara həssas, açıq mətn formatlı HAProxy konfiqurasiya məlumatlarını oxumağa və ya raw konfiqurasiya nöqtəsi vasitəsilə idarə olunan konfiqurasiyanı tamamilə dəyişdirməyə imkan verir. Bu problem hər bir sorğu üçün TLS bağlantı vəziyyətinin yoxlanılması modelinə keçid edilməklə 3.4.4, 3.3.9, 3.2.17, 3.0.25, 2.9.29 versiyalarında və onların müvafiq EE backport-larında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| HAProxy Data Plane API EE | 2.2.0-ee1 ≤ v ≤ 2.9.28-ee1, 3.0-ee ≤ v ≤ 3.0.24-ee1, 3.1-ee ≤ v ≤ 3.2.16-ee1, 3.3-ee ≤ v ≤ 3.3.8-ee1, 3.4-ee ≤ v ≤ 3.4.3-ee2 | — |
| HAProxy Data Plane API CE | 2.2.0 ≤ v ≤ 2.9.28, 3.0.0 ≤ v ≤ 3.0.24, 3.1.0 ≤ v ≤ 3.2.16, 3.3.0 ≤ v ≤ 3.3.8, 3.4.0 ≤ v ≤ 3.4.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.