独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は3月31日、HAProxy における HTTP リクエストスマグリングの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。株式会社ＦＦＲＩセキュリティの茂木裕貴氏が報告を行っている。影響を受けるシステムは以下の通り。
HAProxy バージョン 2.7.0
HAProxy バージョン 2.6.1 から 2.6.7
HAProxy Technologies が提供する HAProxy の HTTP/3 の実装には、不正な形式の HTTP ヘッダフィールド名をブロックできない問題があり、この不正なヘッダを誤って処理してしまうサーバの前に当該製品がデプロイされた場合、HTTP リクエストスマグリング攻撃に悪用される可能性がある。
想定される影響としては、遠隔の第三者によって正規ユーザのリクエストが改ざんされ、機微な情報が窃取されたり、サービス運用妨害（DoS）攻撃を受けたりする可能性がある。
本脆弱性は下記のバージョンで修正されており、JVNでは開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。
HAProxy バージョン 2.7.1
HAProxy バージョン 2.6.8
![Log4Shell のような経験はもう二度としない ～ SSVC が搭載された FutureVuls を活用し、現実的な脆弱性管理を実現 [株式会社マイナビ]](/imgs/p/VBQCg88_AM0-DSZSF4-0dQsJwAfOBQQDAgEA/43935.jpg)
