現已提供適用於 Red Hat OpenShift 容器平台 3.10 的 haproxy 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從參照一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。haproxy 套件為 TCP 和 HTTP 型應用程式提供一個可靠、高效能的網路負載平衡器。安全性修正：* haproxy：HTTP/2 解碼器未正確處理短標頭框架中的優先順序旗標可導致當機 (CVE-2018-20615) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

根據安裝的 haproxy 套件版本，遠端主機上的 EulerOS Virtualization for ARM 64 安裝會受到下列弱點影響：- 在 HAProxy 1.8.14 及之前版本中，在 dns.c 的 dns_validate_dns_response 中發現一個越界讀取。因為在驗證 DNS 回應時遺漏檢查，遠端攻擊者可能會從緩衝區的未初始化部分讀取對應至 AAAA 記錄 () 的 16 位元，並可能存取任何遺留在堆疊上的項目，或甚至超過 8193 位元緩衝區的結尾，取決於 accepted_payload_size 的值。(CVE-2018-20102) 在 HAProxy 1.8.14 及之前版本中的 dns.c 中發現一個問題。在壓縮指標的情形中，特製封包可讓指標指向自己來觸發無限遞迴，或建立一長串有效指標來造成堆疊耗盡。(CVE-2018-20103) - 在 HAProxy 1.8.x 和 1.9.x 到 1.9.0 的 HTTP/2 通訊協定解碼器中發現一個越界讀取問題，可能會導致當機。處理標頭框架中的優先旗標需要 5 個額外位元，且當跳過這些位元時，總框架長度並未重新檢查，無法確認位元是否在框架內。(CVE-2018-20615) 請注意，Tenable Network Security 已直接從 EulerOS 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，HAProxy 未正確處理某些要求。
攻擊者可能利用此弱點洩露敏感資訊。
(CVE-2018-20102)

據發現，HAProxy 未正確處理某些要求。攻擊者可能會利用此問題造成拒絕服務。
此問題僅影響 Ubuntu 18.04 LTS 和 Ubuntu 18.10。
(CVE-2018-20103、CVE-2018-20615)。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

根據安裝的 haproxy 套件版本，遠端主機上安裝的 EulerOS 會受到下列弱點影響：- 在 HAProxy 1.8.x 和 1.9.x 到 1.9.0 的 HTTP/2 通訊協定解碼器中發現一個超出邊界讀取問題，可能會導致當機。處理標頭框架中的優先順序旗標需要 5 個額外位元，且當跳過這些位元時，總框架長度並未重新檢查，無法確認位元當時是否在框架內。(CVE-2018-20615) 在 HAProxy 1.8.14 版和之前版本中的 dns.c 發現一個問題。在壓縮指標的情形中，特製封包可讓指標指向自己來觸發無限遞迴，或建立一連串有效指標來造成堆疊消耗。(CVE-2018-20103) - 在 HAProxy 1.8.14 版和之前版本中的 dns.c，dns_validate_dns_response 中發現一個超出邊界讀取。因為在驗證 DNS 回應時遺漏檢查，遠端攻擊者可能會讀取對應至 AAAA 記錄尚未初始化部分緩衝區的 16 位元，並可能存取任何遺留在堆疊上的東西，或甚至超過 8193 位元緩衝區的終點，取決於 accepted_payload_size 的值。(CVE-2018-20102) 請注意，Tenable Network Security 已直接從 EulerOS 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Redhat Enterprise Linux 7 主機已安裝受到一個弱點影響的套件，如 RHSA-2019:0275 公告中所提及。

    HAProxy 是一種 TCP/HTTP 反向代理伺服器，特別適用於高可用性環境。

    安全性修正：

    * haproxy：HTTP/2 解碼器未正確處理短 HEADERS 框架中的優先順序旗標可導致當機 (CVE-2018-20615)

    如需安全性問題的詳細資料，包括影響、CVSS 分數及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 Red Hat OpenShift 容器平台 3.9 的 haproxy 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從參照一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。haproxy 套件為 TCP 和 HTTP 型應用程式提供一個可靠、高效能的網路負載平衡器。安全性修正：* haproxy：HTTP/2 解碼器未正確處理短標頭框架中的優先順序旗標可導致當機 (CVE-2018-20615) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

ID	名稱	產品	系列	已發布	已更新	嚴重性
122866	RHEL 7：OpenShift 容器平台 3.10 haproxy (RHSA-2019:0548)	Nessus	Red Hat Local Security Checks	2019/3/15	2024/11/6	high
131494	EulerOS Virtualization for ARM 64 3.0.3.0：haproxy (EulerOS-SA-2019-2329)	Nessus	Huawei Local Security Checks	2019/12/3	2024/4/8	high
121210	Ubuntu 16.04 LTS / 18.04 LTS：HAProxy 弱點 (USN-3858-1)	Nessus	Ubuntu Local Security Checks	2019/1/16	2025/9/3	high
126277	EulerOS 2.0 SP8：haproxy (EulerOS-SA-2019-1650)	Nessus	Huawei Local Security Checks	2019/6/27	2024/5/14	high
210297	RHEL 7：rh-haproxy18-haproxy (RHSA-2019:0275)	Nessus	Red Hat Local Security Checks	2024/11/5	2024/11/6	high
122865	RHEL 7：OpenShift 容器平台 3.9 haproxy (RHSA-2019:0547)	Nessus	Red Hat Local Security Checks	2019/3/15	2024/11/6	high

偵測

搜尋 Plugin

high

high

high

high

high

high