漏洞描述
haproxy check，HAProxy是一个使用C语言编写的开源软件，可用于代理TCP、HTTP。
该项目受影响版本存在请求走私漏洞，由于该项目中的qpack-dec.c与hpack-dec.c在接受空的header字段后可能会截断HTTPheader列表。远程攻击者可构造header字段为空的HTTP请求，致使HAProxy在解析请求时丢弃部分Header字段，从而导致转发请求时出现非预期行为，如可夹带向服务器发送额外的请求，而该请求不会再次经过HAProxy过滤或检测。
| 漏洞名称 | HAProxy 存在请求走私漏洞 |
|---|---|
| 漏洞类型 | HTTP请求走私 |
| 发现时间 | 2023-02-16 |
| 漏洞影响广度 | 一般 |
| MPS编号 | MPS-2023-4559 |
| CVE编号 | CVE-2023-25725 |
| CNVD编号 | - |
影响范围
HAProxy@[2.7, 2.7.3
HAProxy@[2.6, 2.6.9
HAProxy@[2.5, 2.5.12
HAProxy@[2.4, 2.4.22
HAProxy@[2.0, 2.0.31
HAProxy@[2.8, 2.8-dev4
HAProxy@[2.2, 2.2.29
修复方案
升级HAProxy到2.0.31、2.2.29、2.4.22、2.5.12、2.6.9、2.7.3、2.8-dev4或更高版本
免费情报订阅&代码安全检测
OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。
