CVE-2026-109575

Nome do Software Vulnerável e Versões Afetadas HAProxy Data Plane API versões 2.2.0 até 2.9.28 HAProxy Data Plane API versões 3.0.0 até 3.0.24 HAProxy Data Plane API versões 3.1.0 até 3.2.16 HAProxy Data Plane API versões 3.3.0 até 3.3.8 HAProxy Data Plane API versões 3.4.0 até 3.4.3

Description Existe uma falha de bypass de autenticação na função Server.ConfigureAPI() devido a uma lógica de autenticação global do processo que remove controles de segurança inadequadamente entre múltiplos tipos de transporte. Quando uma Autoridade de Certificação TLS (tls ca) é configurada e uma porta TLS numérica (tls port) é especificada, a autenticação Basic é desativada globalmente no manipulador de requisições interno compartilhado. Embora a verificação de certificado de cliente mutual TLS (mTLS) (tls.RequireAndVerifyClientCert) seja aplicada no caminho do servidor HTTPS, outros listeners não-mTLS ativos, como HTTP ou sockets de domínio UNIX, permanecem abertos. Isso permite que um invasor não autenticado com acesso a esses endpoints obtenha acesso administrativo total à API, permitindo a leitura de dados de configuração confidenciais em texto claro ou a substituição total da configuração gerenciada através do endpoint de configuração bruta.

Recommendations Atualizar HAProxy Data Plane API versão 2.9.28 para 2.9.29. Atualizar HAProxy Data Plane API versão 3.0.24 para 3.0.25. Atualizar HAProxy Data Plane API versão 3.2.16 para 3.2.17. Atualizar HAProxy Data Plane API versão 3.3.8 para 3.3.9. Atualizar HAProxy Data Plane API versão 3.4.3 para 3.4.4. Restringir interfaces de gerenciamento a redes confiáveis. Desativar listeners HTTP e de socket UNIX desnecessários. Verificar a autenticação independentemente em cada transporte de gerenciamento habilitado.