يقف HAProxy أمام كثير من تطبيقات الويب، لذا فأي خلل يجعله ينشغل بلا توقف أو يتعطل يُسقط كل ما خلفه. وبين أكتوبر 2025 وأكتوبر 2026 نشرت ديبيان خمس نشرات تخص HAProxy، أحدثها DSA-6570-1 لديبيان 13 (trixie) وDLA-4842-1 لديبيان 12 (bookworm)، وكلتاهما بتاريخ 18 أكتوبر 2026. معظمها يعالج حجب الخدمة، وإحداها تعالج تهريب طلبات HTTP عبر HTTP/3، وكل حزمة تتضمن الإصلاحات السابقة لها.
لمحة سريعة
| الإصدار | الحد الأدنى المطلوب | آخر نشرة |
|---|---|---|
| ديبيان 13 (trixie) | 3.0.11-1+deb13u4 | DSA-6570-1 (18 أكتوبر 2026) |
| ديبيان 12 (bookworm) | 2.6.12-1+deb12u4 | DLA-4842-1 (18 أكتوبر 2026) |
الخطورة: عالية، بناءً على الثغرتين CVE-2026-110354 وCVE-2025-11230، وكلتاهما بتقييم CVSS 3.1 7.5 من الجهات المصدرة (حجب خدمة عن بُعد دون مصادقة). ولا توجد أي من هذه الثغرات في قائمة CISA للثغرات المستغلة فعليًا (30 أكتوبر 2026).
النشرات
| النشرة | التاريخ | المشكلة | الإصدارات |
|---|---|---|---|
| DSA-6017-1 | 3 أكتوبر 2025 | CVE-2025-11230: حجب خدمة عند تحليل الأرقام في JSON | bookworm وtrixie |
| DSA-6130-1 | 12 فبراير 2026 | CVE-2026-26081: توقف العملية بسبب حزمة QUIC INITIAL مصممة | trixie |
| DSA-6291-1 | 22 مايو 2026 | CVE-2026-33555: تهريب طلبات عبر HTTP/3 | trixie |
| DSA-6570-1 | 18 أكتوبر 2026 | مشكلتا حجب خدمة، تُتتبعان الآن باسم CVE-2026-110354 | trixie |
| DLA-4842-1 | 18 أكتوبر 2026 | CVE-2026-33555 ومشكلات حجب الخدمة الخاصة بأكتوبر | bookworm |
ما هي الثغرات
- CVE-2025-11230 (JSON). تحليل غير فعّال لأرقام JSON مصممة في شيفرة mjson المضمّنة يسمح لمهاجم عن بُعد باستنزاف المعالج. ويهمك ذلك إن كانت إعداداتك تستخدم محوّلات JSON في HAProxy على بيانات الطلبات.
- CVE-2026-110354 (HTTP/1.1 المجزأ). يصف سجل CVE مهاجمًا عن بُعد دون مصادقة يسبب استنزافًا مستمرًا لمعالج أحد خيوط العمل عبر طلب مجزأ (chunked) مصمم. وحين نشرت ديبيان النشرة DSA-6570-1 لم تكن أرقام CVE متاحة بعد، ثم أضاف المتتبع هذا الرقم لاحقًا.
- CVE-2026-26081 (QUIC). تذكر أخبار مشروع HAProxy أن حزمة QUIC مصممة قد توقف العملية في الإصدار 3.0 وما بعده، ويصنّف المتتبع الإصدار 2.6 في bookworm بأنه غير متأثر.
- CVE-2026-33555 (HTTP/3). لم يكن محلل HTTP/3 يتحقق من مطابقة طول الجسم للقيمة المعلنة في
Content-Length، وقد يتيح ذلك تهريب الطلبات إلى الخادم الخلفي. وتنبّه ديبيان إلى أن هذه الميزات غير مفعّلة افتراضيًا في حزم bookworm.
ولا تصلك ثغرات QUIC وHTTP/3 إلا إن كنت ضبطت مستمعات QUIC. تحقق من ذلك بالأمر:
grep -nE 'quic|alpn h3' /etc/haproxy/haproxy.cfgهل أنت متأثر؟
apt policy haproxy
haproxy -vقارن سطر Installed بالجدول. يعرض haproxy -v الإصدار الأصلي (3.0.11 أو 2.6.12) ولا يتغير مع إصلاحات ديبيان، لذا اعتمد على apt policy. وإن كنت تشغّل HAProxy من مستودع آخر أو من صورة حاوية، فارجع إلى نشرات ذلك المصدر.
طريقة التحديث
sudo apt update
sudo apt install --only-upgrade haproxyوقبل إعادة التشغيل، تحقق من صحة الإعدادات بالملف التنفيذي الجديد:
sudo haproxy -c -f /etc/haproxy/haproxy.cfgإعادة تشغيل الخدمة أم الخادم؟
لا حاجة لإعادة تشغيل الخادم. تأكد أن العملية العاملة هي الجديدة: إن كان systemctl show -p ActiveEnterTimestamp haproxy أقدم من وقت الترقية، فأعد تشغيل الخدمة في وقت هادئ، لأن إعادة التشغيل تقطع الاتصالات المفتوحة:
sudo systemctl restart haproxyوإن كان لديك أكثر من موازن أحمال، فحدّثها وأعد تشغيلها واحدًا تلو الآخر.
ما زال مفتوحًا
في 31 أكتوبر 2026 كان المتتبع يعرض بضع ثغرات أخرى في HAProxy كمفتوحة دون نشرة DSA مخططة حاليًا، مثل CVE-2026-55203 في تحليل سجلات FastCGI (وتهمك إن كنت تستخدم خوادم FastCGI خلفية) وCVE-2026-55204 في ضغط ترويسات HTTP/2. تابع الصفحة، وأبقِ حدود الطلبات ومهل الانتظار مضبوطة (timeout http-request وmaxconn) حتى لا يستطيع عميل واحد شلّ الوكيل.
المصادر
- security-tracker.debian.org/tracker/DSA-6570-1
- debian.org/security/2026/dsa-6570
- lists.debian.org/debian-security-announce/2026/msg00485.html
- security-tracker.debian.org/tracker/DLA-4842-1
- lists.debian.org/debian-lts-announce/2026/10/msg00036.html
- security-tracker.debian.org/tracker/DSA-6291-1
- lists.debian.org/debian-security-announce/2026/msg00202.html
- security-tracker.debian.org/tracker/DSA-6130-1
- lists.debian.org/debian-security-announce/2026/msg00039.html
- security-tracker.debian.org/tracker/DSA-6017-1
- lists.debian.org/debian-security-announce/2025/msg00183.html
- security-tracker.debian.org/tracker/source-package/haproxy
- security-tracker.debian.org/tracker/CVE-2026-26081
- haproxy.org/news.html
- cve.org/CVERecord?id=CVE-2026-110354
- cve.org/CVERecord?id=CVE-2025-11230
- cve.org/CVERecord?id=CVE-2026-33555
- cve.org/CVERecord?id=CVE-2026-26081
- cisa.gov/known-exploited-vulnerabilities-catalog
Comments
0 total · 0 threads