CVE-2026-109575

HAProxy Data Plane API 2.2.0 ile 3.4.3 arasındaki sürümlerde (ve ilgili Enterprise Edition sürümlerinde), Server.ConfigureAPI() fonksiyonu, birden fazla taşıma türü genelinde güvenlik kontrollerini hatalı şekilde devre dışı bırakan süreç-genel bir kimlik doğrulama mantığına sahiptir. Bir TLS Sertifika Yetkilisi (tls_ca) yapılandırıldığında ve sayısal bir TLS portu (tls_port) belirtildiğinde, uygulama paylaşılan dahili istek işleyicisi üzerindeki Basic kimlik doğrulamayı küresel olarak devre dışı bırakır. Bu işleyici; HTTP, HTTPS ve UNIX alan adı soketi dinleyicileri arasında eşzamanlı olarak paylaşıldığından ve karşılıklı TLS (mTLS) istemci sertifikası doğrulaması (tls.RequireAndVerifyClientCert) yalnızca HTTPS sunucu yolunda uygulandığından, aynı anda aktif olan diğer tüm mTLS dışı dinleyiciler korumasız hale gelir. Sonuç olarak, etkilenen bir HTTP veya UNIX yönetim uç noktasına erişebilen kimliği doğrulanmamış bir saldırgan, kimlik bilgilerini tamamen atlayarak tam API yönetici erişimi elde edebilir. Bu durum, yetkisiz uzak veya yerel aktörlerin hassas, açık metin HAProxy yapılandırma verilerini okumasına veya ham yapılandırma uç noktası aracılığıyla yönetilen yapılandırmayı tamamen değiştirmesine olanak tanır. Bu sorun; istek başına TLS bağlantı durumu doğrulama modeline geçilerek 3.4.4, 3.3.9, 3.2.17, 3.0.25, 2.9.29 sürümlerinde ve bunların ilgili EE backportlarında düzeltilmiştir.