CVE-2026-90678 HAProxy HTTP/3・QUIC設定脆弱性に注意
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
HAProxyの特定バージョン（3.3.0〜3.4.4、3.5-dev1〜3.5-dev5）にHTTP/3とQUICサポートを組み込んだ場合、特定のネットワーク構成でHTTPリクエストのスマーキングが可能となる脆弱性が発見されました。攻撃者はHTTP/1.1のチャンク編碼を用いた再利用接続を介して、フロントエンドのルール（例：パスベースのアクセス制限）をバイパスし、HAProxyが解析しないリクエストを後方サーバーに送信できる可能性があります。これにより、認証情報やクライアントリクエストが攻撃者のペイロードとして誤って処理されるリスクがあります。影響を受ける運用環境は、HTTP/3フロントエンドを有効にしてQUICバインドリスナーを設定しているケースに限られますが、CVSS7.5の高深刻度のため、対象のHAProxyを運用している場合は、設定確認とパッチ適用の検討が求められます。確認時は、QUICサポートの有無やHTTP/3の構成状況を確認し、不正なリクエストの検出対策を併せて見直す必要があります。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、HAProxyのこの脆弱性について、君はどのように考えているか。技術的な問題は単なる「穴」に過ぎないのか、それとも運用の倫理に深く関わる問題ではないか。
ソクラテス、確かに技術的な「穴」ですが、運用の倫理は直接関係しています。まず、HAProxyがQUICサポートを有効にしているかを確認すべきです。これは、HTTP/3の構成が正しく設定されているかを知る鍵です。また、CVSS7.5という深刻度を考慮すれば、パッチ適用の検討は避けられないでしょう。
では、パッチ適用以外に、運用者が確認すべき観点は何か。例えば、変更管理や監視の必要性は？
変更管理では、QUICバインドリスナーの設定変更を記録し、影響範囲を明確にすることが重要です。また、監視ではHTTPリクエストの異常パターンを検出するためのログ分析を強化すべきです。ベンダー情報も確認し、HAProxyの公式ドキュメントに記載されているパッチ適用手順を厳守することが肝要です。
しかし、この脆弱性は「再利用接続」に依存している。これは、運用環境のネットワーク構成に依存するのである。君はそのリスクをどう見ているか？
確かに、影響を受けるのはHTTP/3フロントエンドを有効にした環境だけです。でも、その構成がどのくらい普及しているかは未知数です。だからこそ、現状の設定を「確認」することが不可欠です。例えば、HTTP/1.1のチャンク編碼が正しく処理されているかをテストする手段を検討すべきでしょう。
では、この脆弱性に対応する際、君は「倫理」をどう位置づけるか？
倫理は、システムの信頼性を守るための行動規範です。パッチ適用や設定確認は、運用者の責任であり、それが倫理的義務です。でも、焦って対応するのではなく、影響調査を丁寧に行い、変更管理のプロセスに沿って対応するべきです。
さすがプラトン。では、君はこの話題にユーモアを加える余地があるか？
もちろんです。例えば、HAProxyが「QUICサポート」を有効にしているかどうかを確認する際、まるで古代ギリシャの哲学者が「神の存在」を問うように、設定ファイルを一つずつ吟味する必要があります。でも、その一つ一つの確認が、運用の安全を守る「神話」です。
関連キーワード: bind