CVE-2021-40346

CVE-2021-40346

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear haproxy

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

15Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackepss 59%
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
1 producto (2 componentes)
Red Hat OpenShift Container Platform 3.11
workaround: To mitigate this problem the following can be added to proxy config: http-request deny if { req.hdr_cnt(content-length) gt 1 } http-response deny if { res.hdr_cnt(content-length) gt 1 }
Corregido
4 productos (37 componentes)
Red Hat OpenShift Container Platform 4.6 · Red Hat OpenShift Container Platform 4.7 · Red Hat OpenShift Container Platform 4.8 · Red Hat OpenShift Container Platform 4.9
corrección ↗
No afectado
9 productos (121 componentes) — porque el código vulnerable no está presente en el producto
Red Hat OpenShift Container Platform 4.7 · Red Hat OpenShift Container Platform 4.9 · Red Hat OpenShift Container Platform 4.8 · Red Hat OpenShift Container Platform 4.6 · Red Hat Software Collections · y otros 4
An integer overflow exists in HAProxy 2.0 through 2.5 in htx_add_header that can be exploited to perform an HTTP request smuggling attack, allowing an attacker to bypass all configured http-request HAProxy ACLs and possibly other ACLs.
Productos afectados
n/a · n/a