USN-8972-1: Ubuntu corregge due DoS in HAProxy su HTTP/2 e HTTP/1.1

Canonical ha pubblicato il 3 novembre 2026 l'avviso USN-8972-1, che corregge due vulnerabilità di tipo denial of service in HAProxy, il load balancer e reverse proxy usato su buona parte delle infrastrutture di hosting e CDN. Chi espone HAProxy davanti a servizi web pubblici deve aggiornare il pacchetto per non restare esposto a traffico di rete costruito ad hoc.

Le due falle

Il bollettino descrive due problemi distinti, entrambi sfruttabili da remoto senza autenticazione:

È stato scoperto che HAProxy gestiva in modo scorretto i frame HTTP/2 PING troncati. Un attaccante remoto poteva potenzialmente usare questo problema per far consumare a HAProxy risorse CPU eccessive, portando a un denial of service (CVE-2026-110353). Il secondo problema riguarda invece la gestione di certe richieste HTTP/1.1 chunked, con lo stesso effetto di esaurimento CPU (CVE-2026-110354).

Sul CVE-2026-110353 il tracker Debian fornisce il dettaglio tecnico: la funzione h2c_handle_ping in src/mux_h2.c non verifica una lettura incompleta, a differenza degli altri handler per frame H2. Poiché il frame incompleto non può essere elaborato, i suoi dati non vengono mai consumati, e il tasklet del multiplexer H2 viene risvegliato ripetutamente senza fare progressi. La CPU gira a vuoto fino allo scadere del timeout http-request, e un attaccante che apre molte connessioni simili può sostenere un consumo elevato di CPU. Le versioni upstream colpite vanno da 3.2.0 a 3.2.26, da 3.3.0 a 3.3.17 e da 3.4.0 a 3.4.6, secondo il registro CVE consultato. Il CVE risulta pubblicato il 22 ottobre 2026, quindi circa due settimane prima della patch Ubuntu.

Versioni corrette

Release Ubuntu	Versione pacchetto haproxy
26.10	3.4.2-1ubuntu4.1
26.04 LTS	3.2.25-0ubuntu0.26.04.2
24.04 LTS	2.8.30-0ubuntu0.24.04.2
22.04 LTS	2.4.30-0ubuntu0.22.04.3

L'aggiornamento arriva con un normale apt update && apt upgrade sulle release supportate. Chi usa Ubuntu Pro ottiene, come ricorda l'avviso, dieci anni di copertura sicurezza su oltre 25.000 pacchetti dei repository Main e Universe, gratuita fino a cinque macchine.