漏洞公告
近日，安恒信息应急响应中心监测到，国外安全研究员披露了HAProxy的一处高危漏洞，漏洞编号：CVE-2021-40346。攻击者可利用该漏洞绕过ACL限制，实现对限制URL的未授权访问。
HAProxy官方安全公告：
https://www.haproxy.com/blog/september-2021-duplicate-content-length-header-fixed/
一
影响范围
CVE-2021-40346影响以下HAProxy产品：
HAProxy 2.02.0.25
HAProxy 2.22.2.17
HAProxy 2.32.3.14
HAProxy 2.42.4.4
HAProxy Enterprise 2.0r12.0r1-235.1230
HAProxy Enterprise 2.1r12.1r1-238.625
HAProxy Enterprise 2.2r12.2r1-241.505
HAProxy Enterprise 2.3r12.3r1-242.345
HAProxy Kubernetes Ingress Controller 1.61.6.7
HAProxy Enterprise Kubernetes Ingress Controller 1.61.6.7
HAProxy ALOHA 11.511.5.13
HAProxy ALOHA 12.512.5.5
HAProxy ALOHA 13.013.0.7
通过安恒SUMAP平台对全球部署的HAProxy进行统计，最新查询分布情况如下：
全球分布：
国内分布：
二
漏洞描述
HAProxy是一个使用C语言编写的自由及开放源代码软件，其提供高可用性、负载均衡，以及基于TCP和HTTP的应用程序代理。CVE-2021-40346是一个整数溢出漏洞，攻击者可构造包含超长的Content-Length字段的HTTP请求，触发该漏洞，从而实现访问控制规则的绕过。攻击者可利用该漏洞访问未授权的URL。
三
缓解措施
高危：目前部分漏洞细节和利用代码已经公开，建议部署相关产品的用户及时测试并升级到漏洞修复的版本。
处置建议：升级HAProxy至安全版本。
若无法立即更新，可在前端添加以下规则来缓解问题：
frontend myfrontend
http-request deny if { req.hdr_cnt(content-length) gt 1 }
http-response deny if { res.hdr_cnt(content-length) gt 1 }安恒应急响应中心
2021年09月
本文始发于微信公众号（安恒信息应急响应中心）：HAProxy高危漏洞风险提示
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论