HAProxy - CVE-2026-90678

Il s'agit d'une vulnérabilité de désynchronisation de requêtes dans le multiplexeur HTTP/3 de HAProxy, lorsqu'il transmet du trafic vers un serveur applicatif en HTTP/1.1 avec un encodage chunked sur une connexion réutilisée.

HAProxy est un logiciel open source de répartition de charge et de proxy inverse pour les applications TCP et HTTP. Il gère l'équilibrage de charge, la terminaison TLS et le routage du trafic entre des serveurs frontaux et des serveurs applicatifs en arrière-plan.

Lorsqu'une requête HTTP/3 ne comporte pas d'en-tête Content-Length, le multiplexeur crédite la longueur annoncée dans l'en-tête d'une trame DATA à l'estimation de charge utile du flux dès le décodage de cette trame, avant même la réception effective des données. Cette longueur déclarée est ensuite retranscrite telle quelle comme taille de chunk HTTP/1.1. Un client distant peut déclarer une charge utile plus importante que celle réellement envoyée puis clore prématurément le flux. HAProxy annonce alors un chunk plus grand que les octets réellement transmis et replace la connexion dans le pool en état désynchronisé. La requête suivante traitée sur cette même connexion réutilisée peut ainsi contourner les règles d'analyse HTTP du frontal, comme une règle http-request deny, et consommer la ligne de requête et l'en-tête Authorization d'un client légitime concurrent au sein du corps de la requête de l'attaquant. L'exploitation repose sur une condition de concurrence non déterministe avec le pool de connexions, mais reste rejouable à volonté.

Elle permet le contournement des règles de sécurité du frontal et la corruption de requêtes de clients légitimes sur la connexion réutilisée.