USN-8972-2: la patch HAProxy su Ubuntu 22.04 causava 502 sulle risposte chunked

Chi ha aggiornato HAProxy su Ubuntu 22.04 LTS dopo il 3 novembre e ha visto comparire 502 a raffica sulle risposte chunked non ha configurato male niente: era un bug della patch di sicurezza. Ubuntu lo ha confermato il 5 novembre 2026 con l'avviso USN-8972-2.

Cosa era successo

Il 3 novembre Ubuntu aveva pubblicato USN-8972-1 per correggere due falle in HAProxy: HAProxy incorrectly handled certain HTTP/1.1 chunked requests, e un attaccante remoto poteva sfruttare il problema per far consumare risorse CPU eccessive, causando un denial of service (CVE-2026-110354). L'altra falla, CVE-2026-110353, riguardava la gestione scorretta dei frame PING HTTP/2 troncati, con lo stesso rischio di esaurimento CPU.

Il pacchetto 2.4.30-0ubuntu0.22.04.3 per jammy correggeva le CVE, ma introduceva un problema nuovo. Secondo il bug report su Launchpad, le risposte HTTP/1.1 con intestazione Transfer-Encoding: chunked venivano troncate a un offset di byte fisso per ogni URL, con risposte backend HTTP/1.1 chunked tagliate a un offset di byte fisso per URL dopo l'installazione della .3. Chi gestiva reverse proxy davanti a backend Tomcat era tra i più esposti, perché le richieste interessate sono risposte POST che Tomcat invia con Transfer-Encoding: chunked. I log di HAProxy mostravano l'errore "PH--", e in alcuni ambienti la quota di richieste fallite arrivava a coprire una parte rilevante del traffico.

Cosa cambia con la 2.4.30-0ubuntu0.22.04.4

L'avviso di oggi, USN-8972-2, chiude la regressione: sulla release 22.04 LTS jammy il pacchetto corretto è haproxy 2.4.30-0ubuntu0.22.04.4. Nel changelog ufficiale del pacchetto la correzione viene descritta come un aggiornamento della patch CVE-2026-110354 che ora verifica correttamente il buffer sorgente ("srcbuf") prima di processare i chunk.

Il problema ha riguardato solo Ubuntu 22.04 LTS: le altre release coperte dall'avviso originale, 26.10, 26.04 LTS e 24.04 LTS, non hanno avuto la regressione.

Cosa fare

Un apt update && apt install haproxy su jammy porta alla versione corretta. Chi aveva già installato la .3 e aveva notato 502 intermittenti sui backend con risposte chunked può verificare la versione con dpkg -l haproxy e aggiornare subito: non serve modificare la configurazione, la correzione è tutta nel pacchetto.