CVE-2023-0836
Publiée le 2023-03-29 · Dernière modification le 2026-06-17
Les installations d'HAProxy utilisant des backends FastCGI sont vulnérables à une fuite d'informations en raison d'une mémoire non initialisée dans le tampon de connexion. Un attaquant distant non authentifié peut exploiter cette faille en envoyant des requêtes spécialement conçues pour déclencher la fuite, exposant potentiellement des données sensibles vers les serveurs backend. Comme l'attaque ne nécessite aucune interaction de l'utilisateur ni d'authentification préalable, elle est relativement facile à exécuter via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An information leak vulnerability was discovered in HAProxy 2.1, 2.2 before 2.2.27, 2.3, 2.4 before 2.4.21, 2.5 before 2.5.11, 2.6 before 2.6.8, 2.7 before 2.7.1. There are 5 bytes left uninitialized in the connection buffer when encoding the FCGI_BEGIN_REQUEST record. Sensitive data may be disclosed to configured FastCGI backends in an unexpected way.