远程 Debian 11 主机上安装的多个程序包受到 dsa-4960 公告中提及的多个漏洞影响。

  - 在 2.2.16 之前的 HAProxy 2.2、2.3.13 之前的 2.3 和 2.4.3 之前的 2.4 中发现一个问题。它不确保 URI 的方案和路径部分具有预期的字符。例如，颁发机构字段（在目标 HTTP/2 服务器上观察到）可能与路由规则预期实现的不同。(CVE-2021-39240)

  - 在 2.0.24 之前的 HAProxy 2.0、2.2.16 之前的 2.2 和 2.3.13 之前的 2.3、2.4.3 之前的 2.4 中发现一个问题。HTTP 方法名称可能包含后跟受保护资源名称的一个空格。服务器可能将此解释为对该受保护资源的请求，GET /admin? HTTP/1.1 /static/images HTTP/1.1 即为一例。(CVE-2021-39241)

  - 在 2.2.16 之前的 HAProxy 2.2、2.3.13 之前的 2.3 和 2.4.3 之前的 2.4 中发现一个问题。由于未正确处理主机和颁发机构之间的不匹配问题，它可导致出现由攻击者控制的 HTTP 主机标头的情况。(CVE-2021-39242)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DSA-4960-1：haproxy - 安全更新

high Nessus 插件 ID 152638

未找到变更日志