HAProxy Data Plane API 2.2.0 - 3.4.3: authentification globale incorrecte lors de la configuration TLS, exposant le Basic auth

Le contexte

In HAProxy Data Plane API 2.2.0 through 3.4.3 (and corresponding Enterprise Edition releases), Server.ConfigureAPI() has process-global authentication logic that improperly drops security controls across multiple transport types. When a TLS Certificate Authority (tls_ca) is configured and a numeric TLS port (tls_port) is specified, the application globally disables Basic authentication on its shared internal request handler. This handler is shared among HTTP, HTTPS and UNIX domain socket listeners, allowing bypass of authentication across listeners.

Vecteur d'attaque

Exploitation potentielle via API de configuration DPA avec mTLS et port TLS; elimination des contrôles Basic Auth globalement

Systèmes impactés

| Produit | Versions affectées | Versions corrigées | | --- | --- | --- | | HAProxy Data Plane API | versions ≤ 3.4.3 | 3.4.4 |

Non affecté : HAPROXY Data Plane API versions non concernées par l’affectation ci-dessus.

Statut du correctif : Recommandé via patch v3.4.4 et versions ultérieures (voir release notes HAProxy Data Plane API).

La vulnérabilité

CVE-2026-109575 : authentification bypass / défaillance de contrôle d’accès

haproxy · CVSS 9.8

In HAProxy Data Plane API 2.2.0 through 3.4.3 (and corresponding Enterprise Edition releases), Server.ConfigureAPI() has process-global authentication logic that improperly drops security controls across multiple transport types. When a TLS Certificate Authority (tls_ca) is configured and a numeric TLS port (tls_port) is specified, the application globally disables Basic authentication on its shared internal request handler.

Impact : Attaquant peut accéder à l’API de gestion sans authentification sur plusieurs canaux

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Recommandations

• Mettre à jour HAProxy Data Plane API vers la version 3.4.4 ou supérieure.
• Réviser et resserrer les mécanismes d’authentification sur toutes les interfaces HTTP/HTTPS/UNIX et activer le MFA si disponible.
• Tester les scénarios d’accès et auditer les journaux pour détecter des accès non autorisés.

Ce qu'il faut retenir

Si vous utilisez Data Plane API, vérifiez les règles d’authentification, appliquez le patch ou mettez à jour vers la version 3.4.4 ou ultérieure et redémarrez les services en mode minimal.

Analyse issue du bulletin de veille Kreomnis du 13 octobre 2026 (fenêtre : 12 octobre 2026). Sources croisées listées ci-dessous.

• Kreomnis Vigie