authelia

Authelia is an open-source authentication and authorization server providing two-factor authentication and single sign-on SSO for your applications via a web portal. It acts as a companion for reverse proxies by allowing, denying, or redirecting requests. Documentation is available at...

multitor

multitor Create multiple TOR instances with load-balancing. Description • Introduction • How To Use • Parameters • Requirements • Docker • Other • License • Wiki Description It provides one single endpoint for clients. Supports HAProxy , socks protocol and http-proxy servers: polipo , privoxy and...

CVE-2021-40346-POC

CVE-2021-40346-POC CVE-2021-40346 の整数オーバーフローにより HTTP スマグリングが可能になる 整数オーバーフローによる HTTP リクエストスマグリング 中国語分析：HAProxy リクエストスマグリング脆弱性（CVE-2021-40346）分析 参照: https://jfrog.com/blog/critical-vulnerability-in-haproxy-cve-2021-40346-integer-overflow-enables-http-smuggling/ ビルド root@kitploit: git clone...

CVE-2021-40346

CVE-2021-40346 CVE-2021-40346 PoC HAProxy HTTP Smuggling 教育目的のみ セットアップ root@kitploit: $ docker build -t cve-2021-40346 . $ docker run --name poc -p 8000:80 -d --rm -it cve-2021-40346 4941e9f23508b497e4cbe334a75e7cdb84c83478522ed85f48db3477f97a6fb4 テスト /admin が拒否されることを確認します。 root@kitploit: $ curl...

multitor

multitor 로드 밸런싱을 사용하여 여러 TOR 인스턴스를 생성합니다. 설명 • 소개 • 사용 방법 • 매개변수 • 요구사항 • 도커 • 기타 • 라이선스 • Wiki 설명 클라이언트를 위한 단일 엔드포인트를 제공합니다. HAProxy , socks 프로토콜 및 http-proxy 서버polipo , privoxy 및 hpts를 지원합니다. 또한 이전에 실행 중인 TOR 프로세스를 확인 하고 모든 프로세스 또는 선택한 프로세스에 대해 새 신원 을 생성할 수 있습니다. multitor는 다음을 기반으로 완전히 재작성되었습니다...

HAProxy_CVE-2021-40346

HAProxyCVE-2021-40346 HAProxy CVE-2021-40346 技术分析文章 关注我们 Vulnmachines YouTube Twitter Facebook LinkedIn...

HAProxy-Keepalived-Sec-HighLoads

HAProxyとKeepalived LoadBalancer+Cluster+Sec+HighLoads インストールと設定 HAProxy は、高可用性high availabilityを持つロードバランサーload balancingを備え、TCP およびHTTP ベースのアプリケーション向けにプロキシ サーバサービスを提供するオープンソースソフトウェアです。 Keepalived は、2台以上のサーバに対してIPフェイルオーバーIP failover機能を提供できるオープンソースソフトウェアです。Keepalived はノード間でマルチキャスト 通信技術を使用します。...

cnc-relay

cnc-relay レッドチーム演習では、外部に露出するフットプリントと実際のコマンドアンドコントロールバックエンドを分離するために、リレーインフラストラクチャを構築することが一般的です。一般的な軽量オプションとしては、使い捨てのクラウドインフラ上にHAProxyまたはNGINXをセットアップし、オペレーターがコマンドアンドコントロールフレームワークにアクセスできる内部および/またはセキュアなホストにトラフィックをプロキシする方法があります。この構成はほとんどの場合機能しますが、ビーコンの元の送信元IPなどのメタデータが失われます。...

HTTP3ONSTEROIDS

目次 脆弱性の説明 ソースコードレビュー ラボのセットアップ 問題の特定 参考文献 脆弱性の説明 HAProxyのHTTP/3実装は、不正なHTTPヘッダーフィールド名 をブロックできず、この不正なヘッダーを誤って処理するサーバーの前段にデプロイされた場合 、HTTPリクエスト/レスポンススマグリング攻撃に悪用される可能性があります。リモートの攻撃者は、正規ユーザーのリクエストを改ざんする可能性があります。その結果、攻撃者は機密情報を取得したり、サービス妨害（DoS）状態を引き起こしたりする可能性があります。 https://jvn.jp/en/jp/JVN38170084/...

Ubuntu 22.04 LTS / 24.04 LTS / 26.04 LTS : Octavia vulnerabilities (USN-8814-1)

The remote Ubuntu 22.04 LTS / 24.04 LTS / 26.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-8814-1 advisory. It was discovered that Octavia did not properly validate TLS cipher string fields in the Amphora provider driver. An authenticate...

CVE-2026-33555

HAProxy H3/QUIC スタンドアロン FIN ボディ検証バイパスによる HTTP リクエストスマグリング 完全な記事はこちら : https://r3verii.github.io/cve/2026/04/14/haproxy-h3-standalone-fin-smuggling.html 概要 HAProxy の HTTP/3 実装における脆弱性により、攻撃者は実際のボディサイズと一致しない Content-Length ヘッダーを含む HTTP リクエストを送信できます。HAProxy はこの不正なリクエストを、宣言された Content-Length...

CVE-2021-40346

CVE-2021-40346 ヘッダーリクエスト内部表現における整数オーバーフローにより、HTTPリクエストスマグリングが可能になります。このリポジトリは、docker-composeを使用して2つのDockerイメージ（脆弱性のあるバージョンのHaProxy（この場合は2.2.16）と、WSGIとしてGunicornを使用するFlask Webサーバー）で構築されたPoCを紹介します。この脆弱性を悪用することで、HaProxyがユーザー定義ルールによってブロックしている/adminページにアクセスすることができます。 POC 要件 Docker 🐳 Docker compose 🐳 環...

USN-8814-1: Octavia vulnerabilities

It was discovered that Octavia did not properly validate TLS cipher string fields in the Amphora provider driver. An authenticated attacker who owns a TLS-enabled load balancer could possibly use this issue to inject arbitrary HAProxy configuration directives. CVE-2026-94572 It was discovered tha...

USN-8814-1 octavia vulnerabilities

It was discovered that Octavia did not properly validate TLS cipher string fields in the Amphora provider driver. An authenticated attacker who owns a TLS-enabled load balancer could possibly use this issue to inject arbitrary HAProxy configuration directives. CVE-2026-94572 It was discovered tha...

CVE-2026-94571

A flaw was found in OpenStack Octavia. An authenticated user who can create or update L7 policies on their own load balancer can inject arbitrary HAProxy configuration directives through the redirecturl or redirectprefix fields. The URL validator does not reject control characters such as tabs an...

CVE-2026-94572

A flaw was found in OpenStack Octavia. The tlsciphers field on listeners and pools does not reject control characters or spaces. An authenticated project member can embed extra text in that field so that HAProxy treats it as additional configuration rather than a cipher list. This can change...

Unity Linux 20.1050e / 20.1060e / 20.1070e Security Update: haproxy (UTSA-2026-090137)

The Unity Linux 20 host has a package installed that is affected by a vulnerability as referenced in the UTSA-2026-090137 advisory. In hpackdhtinsert in hpack-tbl.c in the HPACK decoder in HAProxy 1.8 through 2.x before 2.1.4, a remote attacker can write arbitrary bytes around a certain location ...

Linux Distros Unpatched Vulnerability : CVE-2026-94572

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available. - In OpenStack Octavia before 18.0.1, the Amphora provider driver did not validate the listener and pool tlsciphers field for control characters. The value is...

Linux Distros Unpatched Vulnerability : CVE-2026-94571

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available. - In OpenStack Octavia before 18.0.1, the Amphora provider driver did not reject control characters in the L7 policy redirecturl and redirectprefix fields. The RF...

DEBIAN-CVE-2026-94572

In OpenStack Octavia before 18.0.1, the Amphora provider driver did not validate the listener and pool tlsciphers field for control characters. The value is written verbatim into the HAProxy configuration generated on the amphora, and thus an authenticated project member who owns a TLS-enabled lo...