BDU:2026-16135

Опубликовано: 09 фев. 2026

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость механизма проверки длины формата NEW_TOKEN серверного программного обеспечения HAProxy связана с ошибками при обработке параметров длины входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Red Hat, Inc.

ООО «Ред Софт»

Сообщество свободного программного обеспечения

Canonical Ltd.

Willy Terreau

Наименование ПО

Red Hat Enterprise Linux

РЕД ОС

Red Hat OpenShift Container Platform

Red Hat Ceph Storage

Debian GNU/Linux

Ubuntu

Red Hat Hardened Images

HAProxy

Aloha

HAProxy Enterprise

Версия ПО

7 (Red Hat Enterprise Linux)

8 (Red Hat Enterprise Linux)

7.3 (РЕД ОС)

4 (Red Hat OpenShift Container Platform)

9 (Red Hat Enterprise Linux)

5 (Red Hat Ceph Storage)

6 (Red Hat Ceph Storage)

7 (Red Hat Ceph Storage)

8 (Red Hat Ceph Storage)

10 (Red Hat Enterprise Linux)

13 (Debian GNU/Linux)

25.10 (Ubuntu)

8.0 (РЕД ОС)

9 (Red Hat Ceph Storage)

- (Red Hat Hardened Images)

от 3.2 до 3.2.12 (HAProxy)

от 3.3 до 3.3.3 (HAProxy)

от 17.0.0 до 17.0.18 (Aloha)

от 17.5.0 до 17.5.16 (Aloha)

от 16.5.0 до 16.5.30 (Aloha)

3.0 r1 (HAProxy Enterprise)

3.1 r1 (HAProxy Enterprise)

3.2 r1 (HAProxy Enterprise)

от 3.0.0 до 3.0.16 (HAProxy)

от 3.1 до 3.1.14 (HAProxy)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat, Inc. Red Hat Enterprise Linux 7

Red Hat, Inc. Red Hat Enterprise Linux 8

ООО «Ред Софт» РЕД ОС 7.3

Red Hat, Inc. Red Hat Enterprise Linux 9

Red Hat, Inc. Red Hat Enterprise Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 13

Canonical Ltd. Ubuntu 25.10

ООО «Ред Софт» РЕД ОС 8.0

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для HAProxy:

https://www.haproxy.com/blog/cves-2026-quic-denial-of-service

https://git.haproxy.org/?p=haproxy-3.2.git;a=commit;h=4765277f4f915baac2d57db63538ff0a59966deb

Для Ред ОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

http://repo.red-soft.ru/redos/8.0/x86_64/updates/

http://repo.red-soft.ru/redos/8.0/aarch64/updates/

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2026-26081

https://deb.freexian.com/extended-lts/tracker/CVE-2026-26081

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2026-26081

Для Ubuntu:

https://ubuntu.com/security/CVE-2026-26081

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2026-26081
CVE

EPSS

Процентиль: 41%

0.00476

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ALT-PU-2026-12694

CVSS3: 9.1

altlinux

3 месяца назад

ALT-PU-2026-12694: package `haproxy` update to version 3.4.3-alt1

CVE-2026-26081

CVSS3: 4.8

ubuntu

4 месяца назад

HAProxy Community Edition 3.0 through 3.3 before 3.3.3 lacks a length check for the NEW_TOKEN format. HAProxy Enterprise and ALOHA are also affected.

CVE-2026-26081

CVSS3: 4.8

redhat

4 месяца назад

HAProxy Community Edition 3.0 through 3.3 before 3.3.3 lacks a length check for the NEW_TOKEN format. HAProxy Enterprise and ALOHA are also affected.

CVE-2026-26081

CVSS3: 4.8

nvd

4 месяца назад

HAProxy Community Edition 3.0 through 3.3 before 3.3.3 lacks a length check for the NEW_TOKEN format. HAProxy Enterprise and ALOHA are also affected.

CVE-2026-26081

CVSS3: 4.8

msrc

4 месяца назад

HAProxy Community Edition 3.0 through 3.3 before 3.3.3 lacks a length check for the NEW_TOKEN format. HAProxy Enterprise and ALOHA are also affected.

EPSS

Процентиль: 41%

0.00476

Низкий

7.5 High

CVSS3

7.8 High

CVSS2