远程 Debian 11 主机上安装的多个程序包受到 dsa-4960 公告中提及的多个漏洞影响。

  - 在 2.2.16 之前的 HAProxy 2.2、2.3.13 之前的 2.3 和 2.4.3 之前的 2.4 中发现一个问题。它不确保 URI 的方案和路径部分具有预期的字符。例如，颁发机构字段（在目标 HTTP/2 服务器上观察到）可能与路由规则预期实现的不同。(CVE-2021-39240)

  - 在 2.0.24 之前的 HAProxy 2.0、2.2.16 之前的 2.2 和 2.3.13 之前的 2.3、2.4.3 之前的 2.4 中发现一个问题。HTTP 方法名称可能包含后跟受保护资源名称的一个空格。服务器可能将此解释为对该受保护资源的请求，GET /admin? HTTP/1.1 /static/images HTTP/1.1 即为一例。(CVE-2021-39241)

  - 在 2.2.16 之前的 HAProxy 2.2、2.3.13 之前的 2.3 和 2.4.3 之前的 2.4 中发现一个问题。由于未正确处理主机和颁发机构之间的不匹配问题，它可导致出现由攻击者控制的 HTTP 主机标头的情况。(CVE-2021-39242)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 / 8 主机上安装的一个程序包受到 RHSA-2022: 0024 公告提及的多个漏洞影响。

  - haproxy：HTTP 方法名称可能包含后跟受保护资源名称的一个空格 (CVE-2021-39241)

  - haproxy：通过重复的内容长度标头进行请求走私攻击或响应拆分 (CVE-2021-40346)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 / 8 主机上安装的一个程序包受到 RHSA-2022: 0114 公告提及的一个漏洞的影响。

  - haproxy：HTTP 方法名称可能包含后跟受保护资源名称的一个空格 (CVE-2021-39241)

  - haproxy：通过重复的内容长度标头进行请求走私攻击或响应拆分 (CVE-2021-40346)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 / 8 主机上安装的程序包受到 RHSA-2021: 4118 公告中提及的多个漏洞影响。

  - haproxy：不确保 URI 的方案和路径部分具有预期的字符 (CVE-2021-39240)

  - haproxy：HTTP 方法名称可能包含后跟受保护资源名称的一个空格 (CVE-2021-39241)

  - haproxy：由于未正确处理主机和颁发机构之间的不匹配问题，它可导致出现由攻击者控制的 HTTP 主机标头的情况 (CVE-2021-39242)

  - haproxy：通过重复的内容长度标头进行请求走私攻击或响应拆分 (CVE-2021-40346)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 haproxy2 版本低于 2.2.17-1。因此，它受到 ALAS2HAPROXY2-2023-005 公告中提及的多个漏洞影响。

  - 在 2.2.16 之前的 HAProxy 2.2、2.3.13 之前的 2.3 和 2.4.3 之前的 2.4 中发现一个问题。它不确保 URI 的方案和路径部分具有预期的字符。例如，颁发机构字段（在目标 HTTP/2 服务器上观察到）可能与路由规则预期实现的不同。(CVE-2021-39240)

  - 在 2.0.24 之前的 HAProxy 2.0、2.2.16 之前的 2.2 和 2.3.13 之前的 2.3、2.4.3 之前的 2.4 中发现一个问题。HTTP 方法名称可能包含后跟受保护资源名称的一个空格。服务器可能将此解释为对该受保护资源的请求，GET /admin? HTTP/1.1 /static/images HTTP/1.1 即为一例。(CVE-2021-39241)

  - 在 2.2.16 之前的 HAProxy 2.2、2.3.13 之前的 2.3 和 2.4.3 之前的 2.4 中发现一个问题。由于未正确处理主机和颁发机构之间的不匹配问题，它可导致出现由攻击者控制的 HTTP 主机标头的情况。(CVE-2021-39242)

  - htx_add_header 的 HAProxy 2.0 至 2.5 中存在一个整数溢出漏洞，该漏洞可被用来执行 HTTP 请求走私攻击，从而允许攻击者绕过所有配置的 http-request HAProxy ACL，并可能绕过其他 ACL。(CVE-2021-40346)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 CentOS Linux 9 主机上安装的一个程序包受到 haproxy-2.4.7-1.el9 版本变更日志中提及的多个漏洞影响。

  - 在 2.2.16 之前的 HAProxy 2.2、2.3.13 之前的 2.3 和 2.4.3 之前的 2.4 中发现一个问题。它不确保 URI 的方案和路径部分具有预期的字符。例如，颁发机构字段（在目标 HTTP/2 服务器上观察到）可能与路由规则预期实现的不同。(CVE-2021-39240)

  - 在 2.0.24 之前的 HAProxy 2.0、2.2.16 之前的 2.2 和 2.3.13 之前的 2.3、2.4.3 之前的 2.4 中发现一个问题。HTTP 方法名称可能包含后跟受保护资源名称的一个空格。服务器可能将此解释为对该受保护资源的请求，GET /admin? HTTP/1.1 /static/images HTTP/1.1 即为一例。(CVE-2021-39241)

  - 在 2.2.16 之前的 HAProxy 2.2、2.3.13 之前的 2.3 和 2.4.3 之前的 2.4 中发现一个问题。由于未正确处理主机和颁发机构之间的不匹配问题，它可导致出现由攻击者控制的 HTTP 主机标头的情况。(CVE-2021-39242)

  - htx_add_header 的 HAProxy 2.0 至 2.5 中存在一个整数溢出漏洞，该漏洞可被用来执行 HTTP 请求走私攻击，从而允许攻击者绕过所有配置的 http-request HAProxy ACL，并可能绕过其他 ACL。(CVE-2021-40346)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
152638	Debian DSA-4960-1：haproxy - 安全更新	Nessus	Debian Local Security Checks	2021/8/18	2022/1/20	high
156716	RHEL 7 / 8：OpenShift Container Platform 4.6.53 (RHSA-2022: 0024)	Nessus	Red Hat Local Security Checks	2022/1/13	2024/11/7	high
156905	RHEL 7 / 8：OpenShift Container Platform 4.7.41 (RHSA-2022: 0114)	Nessus	Red Hat Local Security Checks	2022/1/20	2024/11/7	high
155292	RHEL 7 / 8：OpenShift Container Platform 4.9.6 程序包和 (RHSA-2021: 4118)	Nessus	Red Hat Local Security Checks	2021/11/12	2023/11/23	high
181935	Amazon Linux 2：haproxy2 (ALASHAPROXY2-2023-005)	Nessus	Amazon Linux Local Security Checks	2023/9/27	2024/12/11	high
191145	CentOS 9 : haproxy-2.4.7-1.el9	Nessus	CentOS Local Security Checks	2024/2/29	2024/4/26	high

检测

插件搜索

high

high

high

high

high

high