負荷分散ソフトウェア「HAProxy」の設定管理用APIである「HAProxy Data Plane API」に、認証を回避できる深刻な脆弱性が明らかとなった。
相互TLS認証（mTLS）を設定した際、HTTPやUNIXドメインソケット経由のアクセスに必要な認証まで無効になる脆弱性「CVE-2026-109575」が明らかとなったもの。
共通のリクエスト処理において、認証方式を切り替える実装の不備に起因。特定の認証設定を行うことで認証機能が適用されなくなるおそれがあり、認証なしにAPIの管理機能を利用することが可能となる。
CVE番号を採番したMITREは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を「クリティカル（Critical）」と評価している。
HAProxy Technologiesでは、「同3.4.4」「同3.3.9」「同3.2.17」「同3.0.25」「同2.9.29」を現地時間2026年10月9日にリリースし、脆弱性を解消した。
（Security NEXT – 2026/10/14 ）
ツイート
PR
関連記事
「PHP2Shell」汎用的なRCEは当面困難との分析 – 油断は禁物、他脆弱性との連鎖も
WatchGuard「Fireware OS」に複数脆弱性 – 7件がクリティカル
「VMware Cloud Foundation」に深刻な脆弱性 – 修正パッチを準備
「Sophos UTM」に深刻なRCE脆弱性 – EOLで手動パッチ必要
Ciscoの「ASA」「FTD」にDoS脆弱性 – すでに悪用も
ブラウザ最新版「Firefox 159」が公開 – 脆弱性167件を修正
「Adobe Campaign Classic」など4製品に脆弱性 – 「クリティカル」脆弱性も
Kubernetes向けツール「consul-k8s」に脆弱性 – 修正版が公開
「macOS」にセキュリティ更新 – 300件弱の脆弱性に対応
49システムで情報流出、横展開など確認 – ユミルリンク
コメント