独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は11月27日、HAProxyにおけるHTTPリクエストスマグリングの脆弱性について発表した。株式会社ＦＦＲＩセキュリティの茂木裕貴氏が報告を行っている。
影響を受けるシステムは以下の通り。

HAProxy 2.6系 2.6.18およびそれ以前のバージョン
HAProxy 2.8系 2.8.10およびそれ以前のバージョン
HAProxy 2.9系 2.9.9およびそれ以前のバージョン
HAProxy 3.0系 3.0.2およびそれ以前のバージョン

　HAProxy Projectが提供するHAProxyのHTTP/3の実装には、不正な形式のHTTPヘッダーを受け入れる問題があり、この不正なヘッダーを含むリクエストをHTTP/1.1に準拠していないバックエンドサーバーへ転送した場合、HTTPリクエストスマグリング攻撃に悪用される可能性がある。

　想定される影響としては、同製品がACL（Access Control List）によってアクセス制限しているパスにアクセスされ、結果として機微な情報を取得される可能性がある。

　JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。なお本脆弱性は、下記のバージョンで修正されている。

HAProxy バージョン 2.6.19
HAProxy バージョン 2.8.11
HAProxy バージョン 2.9.10
HAProxy バージョン 3.0.3

元の記事を読む

編集部おすすめ