CVE-2026-90678

Wykryto problem w HAProxy 3.3.0 do 3.4.4 i 3.5-dev1 do 3.5-dev5. Eksploatacja wymaga interfejsu HTTP/3: HAProxy musi być zbudowany z obsługą QUIC i skonfigurowany z odbiornikiem powiązań QUIC, a ruch, którego to dotyczy, musi docierać do backendu przez HTTP/1.1 przy użyciu fragmentarycznego kodowania transferu w ponownie używanym połączeniu. W tych warunkach, gdy żądanie HTTP/3 nie zawiera nagłówka Content-Length, multiplekser HTTP/3 przypisuje długość zadeklarowaną w nagłówku ramki DATA szacunkowemu znanemu ładunkowi wejściowemu punktu końcowego strumienia w momencie zdekodowania nagłówka ramki, zanim ładunek zostanie odebrany, a zadeklarowana długość jest emitowana dosłownie jako rozmiar fragmentu HTTP/1.1. Zdalny nieuwierzytelniony klient, który deklaruje więcej ładunku niż dostarcza, a następnie kończy strumień, powoduje, że HAProxy ogłasza fragment większy niż zapisana liczba bajtów i zwraca połączenie do puli bezczynności w stanie niezsynchronizowanym. Rezultatem jest potencjalny przemyt żądań HTTP przez ponownie wykorzystywane połączenia backendu: osoba atakująca może umieścić żądanie poza regułą frontendu, taką jak odmowa żądania http oparta na ścieżce, dzięki czemu przemycone żądanie nigdy nie zostanie zauważone przez analizę HTTP HAProxy i może spowodować, że równoczesne żądania klientów, w tym ich wiersze żądań i nagłówki autoryzacji, zostaną wykorzystane jako treść żądania atakującego i utracone. Eksploatacja nie jest deterministyczna; zależy to od wyścigu z pulą połączeń zaplecza, pomyślnego zakończenia większości, ale nie wszystkich prób podczas testowania i można je swobodnie ponawiać. Mechanizm został wprowadzony w wersji 3.3-dev10; nie ma to wpływu na wersje 3.2.x i wcześniejsze.