- Yama var
- Son 7 gün
- CWE-835
CVE-2026-110354
HAProxy'de HTTP/1.1 parçalı istek işlenirken CPU tükenmesine yol açan hizmet dışı bırakma açığı
HAProxyHAProxy Enterprise EditionHAProxy Technologies HAProxy Kubernetes Ingress Controller
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- mitre
ÖzetTürkçe
HAProxy 3, 3.4.6 sürümünden önceki sürümlerinde, kimlik doğrulaması yapılmamış uzak bir saldırganın HTTP/1.1 parçalı (chunked) isteği aracılığıyla hizmet dışı bırakma (kalıcı çalışan iş parçacığı CPU tükenmesi) durumuna neden olmasına izin verir. H1 çoklayıcısı akışı kapatmadan önce isteği tüketmesine rağmen, ayrıştırıcı aynı baytları ilerleme kaydetmeden tekrar tekrar işler. Etkilenen iş parçacığı, zaman aşımları dolduktan ve istemci bağlantıyı kestikten sonra da %100 CPU kullanımıyla meşgul kalır. Tekrarlanan istekler tüm çalışan iş parçacıklarını tüketebilir ve süreç yeniden başlatılana kadar bu durum devam eder.
Kaynaktaki açıklama (İngilizce)
HAProxy 3 before 3.4.6 allows a remote unauthenticated attacker to cause a denial of service (persistent worker-thread CPU exhaustion) via an HTTP/1.1 chunked request. Although the H1 multiplexer drains the request before closing the stream, the parser repeatedly re-processes the same bytes without making progress. The affected thread stays busy at 100% CPU after timeouts expire and after the client disconnects, and repeated requests can consume all worker threads until the process is restarted.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler4 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| HAProxy | ≥ 3.0.0, < 3.0.30 | 3.0.30 |
| ≥ 3.2.0, < 3.2.26 | 3.2.26 | |
| ≥ 3.3.0, < 3.3.17 | 3.3.17 | |
| ≥ 3.4.0, < 3.4.6 | 3.4.6 | |
| ≥ 3.5-dev, < 3.5-dev9 | 3.5-dev9 | |
| HAProxy Enterprise Edition | ≥ 3.0r1, < 3.0r1-362.1441 | 3.0r1-362.1441 |
| ≥ 3.2r1, < 3.2r1-378.1259 | 3.2r1-378.1259 | |
| ≥ 3.3r1, < 3.3r1-377.1005 | 3.3r1-377.1005 | |
| HAProxy Technologies HAProxy Kubernetes Ingress Controller | ≥ 3.2.0, < 3.2.17 | 3.2.17 |
| HAProxy Technologies Kubernetes Ingress Controller Enterprise | ≥ 3.2.0, < 3.2.17-ee1 | 3.2.17-ee1 |
| ≥ 3.0, < 3.0.16-ee17 | 3.0.16-ee17 | |
| ≥ 1.11, < 1.11.14-ee11 | 1.11.14-ee11 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- git.haproxy.org Üretici bülteni
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.