CVE-2026-55203: Heltalsoverløb i HAProxy’s FastCGI-parser
Heltalsoverløb i HAProxy’s FastCGI-parsing (CVE-2026-55203) kan give forkert routing og datalæk mellem kunder. Opdatér HAProxy.
Hvad er det?
CVE-2026-55203 er en heltalsoverløbsfejl i HAProxy, et meget brugt program til lastfordeling og videresendelse af webtrafik. Fejlen ligger i den del af koden, der fortolker FastCGI, en protokol HAProxy bruger til at tale med bagvedliggende programservere, for eksempel PHP-FPM. Et felt kaldet drl, som holder styr på hvor meget data der er tilbage i en FastCGI-pakke, tæller forkert op til nul, når pakken har en bestemt størrelse (contentLength på 65535 og mindst 1 byte fyldning). Det gør, at HAProxy læser de følgende bytes som en ny pakke i stedet for resten af den gamle. Konsekvensen er, at HAProxy kan forveksle svar fra forskellige forespørgsler eller kunder.
Hvem rammer det?
Det rammer virksomheder, der kører HAProxy op til og med version 3.4.0 med FastCGI-understøttelse aktiveret, det vil sige opsætninger hvor HAProxy taler direkte med en FastCGI-applikationsserver som PHP-FPM i stedet for at gå via en almindelig webserver. Det gælder typisk webhoteller, SaaS-udbydere og kommuner, der driver flere kundeapplikationer på samme HAProxy-installation. Bruges HAProxy kun som ren HTTP-proxy uden FCGI-mode, er I ikke ramt af denne fejl.
Hvad kan ske?
Når parseren mister overblikket over pakkegrænserne, kan HAProxy blande svar sammen, så en bruger får en anden brugers respons, kaldet response smuggling. I en delt hosting-opsætning kan det betyde, at en kundes data ender hos en anden kunde. Fejlen kan også skabe forkert routing af forespørgsler til det forkerte program bag HAProxy, hvilket i værste fald åbner for at omgå adgangsstyring, der er lagt ind i den enkelte applikation.
Hvor alvorligt er det?
CVSS-scoren er 7,5 ud af 10, alvorlig. Angrebet kan udføres over netværket uden login og uden at en bruger skal klikke på noget, men angrebskompleksiteten er høj: der skal en ondsindet eller allerede kompromitteret FastCGI-backend til at sende den skæve pakke, det er ikke noget en almindelig ekstern angriber kan gøre alene. Konsekvensen rammer især fortrolighed i lav grad og integritet i høj grad, mens tilgængeligheden ikke påvirkes. Der er ikke oplysninger om, at fejlen udnyttes aktivt på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:
- Opdatér HAProxy til en version, der indeholder rettelsen fra commit 5985276, eller nyere end 3.4.0.
- Undersøg om jeres HAProxy-opsætning bruger FCGI-mode mod bagvedliggende programservere, og prioritér de installationer, der gør.
- Kontrollér, at bagvedliggende FastCGI-servere kun kan tilgås fra betroede kilder, så ingen ukendt eller kompromitteret backend kan sende skæve pakker.
- I delte hosting-miljøer, gennemgå logs for uventede fejl i forbindelsen mellem HAProxy og programserverne, som kan tyde på forsøg på at udløse fejlen.
- Hvis I ikke selv har ressourcer til at vurdere jeres HAProxy-konfiguration eller udføre opdateringen sikkert, bør I hente hjælp fra en it-sikkerhedsrådgiver.
Opdatér inden for en uge
Vi anbefaler, at I opdaterer HAProxy til den rettede version, hvis I bruger FastCGI-mode mod bagvedliggende programservere. Er FastCGI-mode ikke i brug, kan opdateringen planlægges som en almindelig del af jeres næste vedligeholdelsesvindue. Kører I derimod flere kunder eller applikationer bag samme HAProxy-installation med FastCGI, bør opdateringen prioriteres, da fejlen kan blande data mellem kunder.
Tidslinje
Konkrete eksempler
Delt hosting-miljø med PHP-FPM bag HAProxy
Et dansk webhotel driver HAProxy i FCGI-mode foran PHP-FPM-servere for flere kunders webshops. En sårbarhed i en enkelt kundes applikation gør, at en angriber kan påvirke, hvilken backend HAProxy taler med. Ved at udløse heltalsoverløbet kan angriberen få HAProxy til at blande svar sammen, så oplysninger fra en anden kundes webshop, for eksempel ordredata, sendes til den forkerte session.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
Kun hvis jeres HAProxy-installation er sat op til at kommunikere med bagvedliggende servere via FastCGI-protokollen, ofte kaldet FCGI-mode i konfigurationen. Bruger I HAProxy som almindelig HTTP-proxy foran en webserver, er I ikke ramt.
Hvordan tjekker vi om vi bruger FastCGI-mode?
Gennemgå jeres HAProxy-konfigurationsfil for opsætninger med use_fcgi_app eller lignende FCGI-relaterede direktiver. Findes de ikke, er I ikke berørt af denne konkrete fejl.
Kan vi vente til weekenden med at opdatere?
Er FastCGI-mode ikke i brug, kan opdateringen vente til jeres almindelige vedligeholdelsesvindue. Bruger I FCGI mod flere kunders applikationer, bør I ikke vente, da fejlen kan blande data mellem kunder.
Skal vi anmelde noget til Datatilsynet?
Kun hvis I har konkrete tegn på, at fejlen faktisk er blevet udnyttet og har medført, at personoplysninger er lækket til en uautoriseret part. Ren tilstedeværelse af sårbarheden udløser ikke en anmeldelsespligt.
Hvad er FastCGI, og hvorfor bruger vi det?
FastCGI er en protokol, der lader en webserver eller lastfordeler som HAProxy videresende forespørgsler direkte til en programserver, for eksempel PHP-FPM, uden at gå via en separat webserverproces. Det bruges ofte for at spare ressourcer i webhosting- og SaaS-miljøer.
Kræver rettelsen ændringer i vores applikationskode?
Nej, rettelsen ligger i HAProxy selv. I skal opdatere HAProxy-programmet, og jeres applikationer skal ikke ændres.
CVSS-detaljer
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
HAProxy through 3.4.0, fixed in commit 5985276, contains an integer overflow vulnerability in the fcgi_conn structure’s drl field that allows buffer misparse as new FCGI record headers. When contentLength is 65535 and paddingLength is 1 or more, the drl field wraps to 0, causing incorrect record consumption and allowing malicious FastCGI backends to desynchronize the FCGI framing parser, potentially causing request routing errors, response smuggling, or memory safety issues.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.