HAProxy に HTTP リクエストスマグリングの脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は3月31日、HAProxy における HTTP リクエストスマグリングの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。株式会社ＦＦＲＩセキュリティの茂木裕貴氏が報告を行っている。影響を受けるシステムは以下の通り。

HAProxy バージョン 2.7.0
HAProxy バージョン 2.6.1 から 2.6.7

　HAProxy Technologies が提供する HAProxy の HTTP/3 の実装には、不正な形式の HTTP ヘッダフィールド名をブロックできない問題があり、この不正なヘッダを誤って処理してしまうサーバの前に当該製品がデプロイされた場合、HTTP リクエストスマグリング攻撃に悪用される可能性がある。

　想定される影響としては、遠隔の第三者によって正規ユーザのリクエストが改ざんされ、機微な情報が窃取されたり、サービス運用妨害（DoS）攻撃を受けたりする可能性がある。

　本脆弱性は下記のバージョンで修正されており、JVNでは開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。

HAProxy バージョン 2.7.1
HAProxy バージョン 2.6.8