HAProxy - CVE-2026-109575

Il s’agit d’une vulnérabilité dans la gestion de l’authentification de HAProxy Data Plane API, au niveau de la fonction Server.ConfigureAPI().

HAProxy Data Plane API est un service qui permet de configurer le répartiteur de charge HAProxy par des commandes HTTP de type REST. Il s’exécute comme un programme ou un service autonome. Ses versions sont indépendantes de celles de HAProxy. Il existe en éditions Community (CE) et Enterprise (EE).

La logique d’authentification est globale au processus. Quand une autorité de certification TLS (tls_ca) et un port TLS numérique (tls_port) sont configurés, l’application désactive l’authentification Basic pour tout le processus. Le gestionnaire de requêtes interne est partagé entre les écoutes HTTP, HTTPS et socket de domaine UNIX. La vérification des certificats clients mTLS n’est imposée que sur le chemin HTTPS. Les écoutes HTTP et UNIX ne renseignent jamais les informations TLS de la requête. Elles ne demandent donc aucun identifiant. Le correctif décide requête par requête. Il ne saute l’authentification que si la connexion présente un certificat client vérifié par l’autorité.

Elle permet à un attaquant non authentifié qui atteint une écoute HTTP ou UNIX d’obtenir un accès administrateur complet à l’API. Il peut lire la configuration HAProxy en clair ou la remplacer entièrement par le point d’accès de configuration brute.