CVE-2026-90678

HAProxy 3.3.0-dan 3.4.4-ə qədər və 3.5-dev1-dən 3.5-dev5-ə qədər olan versiyalarda problem aşkar edilmişdir. İstismar üçün HTTP/3 frontend tələb olunur: HAProxy QUIC dəstəyi ilə qurulmalı və QUIC bind dinləyicisi ilə konfiqurasiya edilməli, həmçinin təsirlənmiş trafik təkrar istifadə olunan bağlantı üzərindən chunked transfer kodlamasından istifadə edərək HTTP/1.1 vasitəsilə backend-ə çatmalıdır. Bu şərtlər daxilində, HTTP/3 sorğusu Content-Length başlığına malik olmadıqda, HTTP/3 multiplekseri freym başlığı dekodlaşdırıldığı anda, faydalı yük (payload) hələ alınmamışdan əvvəl, DATA freym başlığında bəyan edilmiş uzunluğu axın son nöqtəsinin məlum giriş faydalı yük təxmininə əlavə edir və həmin bəyan edilmiş uzunluq olduğu kimi HTTP/1.1 chunk ölçüsü kimi ötürülür. Göndərdiyindən daha çox faydalı yük bəyan edən və sonra axını sonlandıran uzaqdakı autentifikasiya olunmamış müştəri, HAProxy-nin yazdığı baytlardan daha böyük bir chunk elan etməsinə və bağlantının desinxronizasiya olunmuş vəziyyətdə boş hovuza (idle pool) qaytarılmasına səbəb olur. Nəticədə, təkrar istifadə olunan backend bağlantılarında potensial HTTP request smuggling baş verir: hücumçu yolu əsaslı http-request deny kimi frontend qaydasını keçərək sorğu yerləşdirə bilər, beləliklə, gizlədilmiş (smuggled) sorğu HAProxy-nin HTTP analizini heç vaxt görmür və eyni vaxtda digər müştərilərin sorğularının, o cümlədən onların sorğu sətirlərinin və Authorization başlıqlarının hücumçunun sorğu gövdəsi kimi qəbul edilib itirilməsinə səbəb ola bilər. İstismar deterministik deyil; bu, backend bağlantı hovuzu ilə yarışdan (race condition) asılıdır, testlər zamanı cəhdlərin əksəriyyətində uğurlu olsa da hamısında yoxdur və sərbəst şəkildə təkrar edilə bilər. Mexanizm 3.3-dev10 versiyasında tətbiq edilmişdir; 3.2.x və daha erkən buraxılışlar təsirlənməyib.