CVE-2025-11230 — Denial of service vulnerability in HAProxy mjson library
Inefficient algorithm complexity in mjson in HAProxy allows remote attackers to cause a denial of service via specially crafted JSON requests.
Descrição oficial em inglês (tradução ainda não revisada).
Quem explora e qual a prioridade
Nota de 0 a 100 que combina exploração confirmada, uso por ransomware e grupos APT, exploits públicos, EPSS e severidade.
Como a nota foi calculada
- EPSS 0.7% (probabilidade de exploração em 30 dias)+8
- Severidade técnica (high)+6
- Exploração automatizável (SSVC)+3
A nota ordena a fila de correção; não substitui o contexto dos seus ativos (exposição à internet, criticidade, compensações).
Triagem
Está sendo explorada, qual a probabilidade de exploração, o que afeta e qual a severidade segundo as fontes.
Avaliação SSVC da CISA CISA
Três pontos de decisão que a CISA publica para as CVEs que avalia (SSVC 2.0.3). Uma decisão de priorização, não uma nota de severidade.
Remediação
Correções e mitigações documentadas pelas fontes — com link para o aviso original.
Nenhuma correção documentada pelas fontes consultadas. Isso não significa que não exista: verifique o aviso do fabricante.
Primeiras 24 horas
Ordenado a partir dos próprios campos do registro — exposição primeiro, porque não se corrige o que não se encontrou. Ponto de partida, gerado por regras.
- Identifique ativos expostos que executam as combinações de fabricante/produto/versão afetadas (Haproxy Aloha Appliance, Haproxy Haproxy, Haproxy Haproxy Enterprise…).
- O ataque é pela rede e não exige privilégios: restrinja a exposição (ACLs, VPN, WAF) até corrigir.
- Nenhuma correção documentada nas fontes: reduza a exposição e monitore o aviso do fabricante.
- Procure nos logs disponíveis sinais de tentativa de exploração, erros e anomalias de autenticação.
Escopo afetado
Fabricante, produto e versões como as fontes os descrevem.
| Fabricante | Produto | Versões | Status | Fonte |
|---|---|---|---|---|
| Haproxy | Aloha Appliance | ≥ 14.5.0 e < 14.5.33≥ 15.5.0 e < 15.5.28≥ 16.5.0 e < 16.5.19≥ 17.0.0 e < 17.0.7 | Vulnerável | NIST National Vulnerability Database |
| Haproxy | Haproxy | ≥ 2.4.0 e < 2.4.30≥ 2.6.0 e < 2.6.23≥ 2.8.0 e < 2.8.16≥ 3.0.0 e < 3.0.12≥ 3.1.0 e < 3.1.9≥ 3.2.0 e < 3.2.6 | Vulnerável | NIST National Vulnerability Database |
| Haproxy | Haproxy Enterprise |
versão 2.4r1-1.0.0-253.271versão 2.4r1-1.0.0-254.271versão 2.4r1-1.0.0-259.342versão 2.4r1-1.0.0-263.343versão 2.4r1-1.0.0-264.356versão 2.4r1-1.0.0-268.356versão 2.4r1-1.0.0-268.373versão 2.4r1-1.0.0-268.459 e mais 178versão 2.4r1-1.0.0-268.464versão 2.4r1-1.0.0-268.477versão 2.4r1-1.0.0-268.499versão 2.4r1-1.0.0-268.553versão 2.4r1-1.0.0-268.560versão 2.4r1-1.0.0-268.564versão 2.4r1-1.0.0-268.596versão 2.4r1-1.0.0-269.596versão 2.4r1-1.0.0-269.599versão 2.4r1-1.0.0-270.616versão 2.4r1-1.0.0-271.673versão 2.4r1-1.0.0-271.677versão 2.4r1-1.0.0-272.683versão 2.4r1-1.0.0-272.686versão 2.4r1-1.0.0-272.728versão 2.4r1-1.0.0-274.752versão 2.4r1-1.0.0-276.752versão 2.4r1-1.0.0-277.814versão 2.4r1-1.0.0-277.831versão 2.4r1-1.0.0-278.838versão 2.4r1-1.0.0-279.852versão 2.4r1-1.0.0-279.859versão 2.4r1-1.0.0-279.877versão 2.4r1-1.0.0-279.911versão 2.4r1-1.0.0-279.940versão 2.4r1-1.0.0-279.952versão 2.4r1-1.0.0-279.953versão 2.4r1-1.0.0-279.956versão 2.4r1-1.0.0-280.956versão 2.4r1-1.0.0-282.998versão 2.4r1-1.0.0-282.999versão 2.4r1-1.0.0-284.999versão 2.4r1-1.0.0-285.1010versão 2.4r1-1.0.0-286.1064versão 2.4r1-1.0.0-286.1068versão 2.4r1-1.0.0-286.1089versão 2.4r1-1.0.0-286.1094versão 2.4r1-1.0.0-288.1094versão 2.4r1-1.0.0-288.1158versão 2.4r1-1.0.0-288.1167versão 2.4r1-1.0.0-288.1189versão 2.4r1-1.0.0-289.1189versão 2.4r1-1.0.0-290.1239versão 2.4r1-1.0.0-291.1246versão 2.4r1-1.0.0-292.1293versão 2.4r1-1.0.0-294.1346versão 2.4r1-1.0.0-294.1364versão 2.4r1-1.0.0-294.1376versão 2.4r1-1.0.0-294.1377versão 2.4r1-1.0.0-294.1442versão 2.6r1-1.0.0-281.466versão 2.6r1-1.0.0-282.561versão 2.6r1-1.0.0-283.562versão 2.6r1-1.0.0-283.565versão 2.6r1-1.0.0-283.616versão 2.6r1-1.0.0-283.632versão 2.6r1-1.0.0-283.633versão 2.6r1-1.0.0-283.636versão 2.6r1-1.0.0-284.636versão 2.6r1-1.0.0-285.726versão 2.6r1-1.0.0-285.727versão 2.6r1-1.0.0-287.727versão 2.6r1-1.0.0-288.770versão 2.6r1-1.0.0-288.773versão 2.6r1-1.0.0-288.848versão 2.6r1-1.0.0-288.849versão 2.6r1-1.0.0-289.1020versão 2.6r1-1.0.0-289.1028versão 2.6r1-1.0.0-289.1041versão 2.6r1-1.0.0-289.873versão 2.6r1-1.0.0-289.975versão 2.6r1-1.0.0-289.976versão 2.6r1-1.0.0-291.1046versão 2.6r1-1.0.0-292.1046versão 2.6r1-1.0.0-292.1055versão 2.6r1-1.0.0-292.1120versão 2.6r1-1.0.0-292.1147versão 2.6r1-1.0.0-292.1148versão 2.6r1-1.0.0-292.1156versão 2.6r1-1.0.0-292.1181versão 2.6r1-1.0.0-292.1187versão 2.6r1-1.0.0-293.1189versão 2.6r1-1.0.0-293.1190versão 2.6r1-1.0.0-294.1212versão 2.6r1-1.0.0-294.1285versão 2.6r1-1.0.0-295.1303versão 2.6r1-1.0.0-296.1392versão 2.6r1-1.0.0-296.1416versão 2.6r1-1.0.0-299.1416versão 2.6r1-1.0.0-299.1474versão 2.6r1-1.0.0-299.1487versão 2.6r1-1.0.0-299.1511versão 2.6r1-1.0.0-299.1542versão 2.6r1-1.0.0-299.1557versão 2.6r1-1.0.0-299.1596versão 2.6r1-1.0.0-299.1603versão 2.6r1-1.0.0-299.1606versão 2.6r1-1.0.0-299.1618versão 3.0r1-1.0.0-339.395versão 3.0r1-1.0.0-344.503versão 3.0r1-1.0.0-344.495versão 3.0r1-1.0.0-342.482versão 3.0r1-1.0.0-341.475versão 3.0r1-1.0.0-339.471versão 3.0r1-1.0.0-339.466versão 3.0r1-1.0.0-339.455versão 3.0r1-1.0.0-339.415versão 3.0r1-1.0.0-339.405versão 3.0r1-1.0.0-344.561versão 3.0r1-1.0.0-337.394versão 3.0r1-1.0.0-337.390versão 3.0r1-1.0.0-337.363versão 2.8r1-1.0.0-326.1073versão 2.8r1-1.0.0-324.947versão 2.8r1-1.0.0-324.1072versão 2.8r1-1.0.0-324.1071versão 2.8r1-1.0.0-324.1030versão 2.8r1-1.0.0-322.942versão 3.1r1-1.0.0-346.274versão 3.1r1-1.0.0-348.519versão 3.1r1-1.0.0-347.449versão 3.1r1-1.0.0-347.431versão 3.1r1-1.0.0-347.419versão 3.1r1-1.0.0-347.405versão 3.1r1-1.0.0-347.362versão 3.1r1-1.0.0-347.338versão 3.1r1-1.0.0-347.299versão 3.1r1-1.0.0-346.287versão 2.6r1-1.0.0-301.1666versão 3.1r1-1.0.0-345.233versão 3.0r1-1.0.0-346.792versão 3.0r1-1.0.0-345.673versão 3.0r1-1.0.0-344.672versão 3.0r1-1.0.0-344.655versão 3.0r1-1.0.0-344.641versão 3.0r1-1.0.0-344.608versão 3.0r1-1.0.0-344.591versão 3.0r1-1.0.0-344.564versão 2.8r1-1.0.0-310.364versão 2.8r1-1.0.0-312.592versão 2.8r1-1.0.0-311.453versão 2.8r1-1.0.0-311.452versão 2.8r1-1.0.0-311.449versão 2.8r1-1.0.0-310.424versão 2.8r1-1.0.0-310.422versão 2.8r1-1.0.0-310.418versão 2.8r1-1.0.0-310.374versão 2.8r1-1.0.0-310.373versão 2.8r1-1.0.0-321.934versão 2.8r1-1.0.0-310.350versão 2.8r1-1.0.0-307.317versão 2.8r1-1.0.0-306.289versão 2.8r1-1.0.0-306.288versão 2.8r1-1.0.0-305.285versão 2.8r1-1.0.0-305.279versão 2.8r1-1.0.0-304.266versão 2.8r1-1.0.0-302.234versão 2.6r1-1.0.0-300.1666versão 2.8r1-1.0.0-317.613versão 2.8r1-1.0.0-321.937versão 2.8r1-1.0.0-321.931versão 2.8r1-1.0.0-321.919versão 2.8r1-1.0.0-321.901versão 2.8r1-1.0.0-321.895versão 2.8r1-1.0.0-320.895versão 2.8r1-1.0.0-320.853versão 2.8r1-1.0.0-320.851versão 2.8r1-1.0.0-320.831versão 2.8r1-1.0.0-320.781versão 2.8r1-1.0.0-320.780versão 2.8r1-1.0.0-320.770versão 2.8r1-1.0.0-320.761versão 2.8r1-1.0.0-320.750versão 2.8r1-1.0.0-319.723versão 2.8r1-1.0.0-319.699versão 2.8r1-1.0.0-318.674versão 2.8r1-1.0.0-312.613versão 2.8r1-1.0.0-320.783 |
Vulnerável | NIST National Vulnerability Database |
| Haproxy | Kubernetes Ingress Controller | < 1.9.14-ee7≥ 3.0.0-ee1 e < 3.0.15-ee4≥ 1.10.10-ee1 e < 1.11.12-ee10< 3.1.12 | Vulnerável | NIST National Vulnerability Database |
| HAProxy Technologies | HAProxy Community Edition | ≥ 2.4.0 e < 2.4.30≥ 2.6.0 e < 2.6.23≥ 2.8.0 e < 2.8.16≥ 3.0.0 e < 3.0.12≥ 3.1.0 e < 3.1.9≥ 3.2.0 e < 3.2.6 | Vulnerável | CVE Program (cve.org) e CISA ADP |
Características do ataque
O vetor CVSS decodificado. Descreve o ataque, não a sua exposição a ele.
Todas as pontuações coletadas
As fontes pontuam de forma independente e podem discordar; cada linha diz quem pontuou e em qual versão.
| Nota | Versão | Severidade | Explor. | Impacto | Pontuado por |
|---|---|---|---|---|---|
| 7.5 | CVSS 3.1 | Alta | 3.9 | 3.6 | security@ubuntu.com via NIST National Vulnerability Database |
| 7.5 | CVSS 3.1 | Alta | — | — | canonical via CVE Program (cve.org) e CISA ADP |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H (nota exibida no topo: security@ubuntu.com) Fraqueza MITRE
Classe de fraqueza segundo o catálogo CWE do MITRE.
EPSS ao longo do tempo FIRST
13/10/2026 → 14/10/2026 · 2 leitura(s) · máximo 0.69%
Detecção
Derivado do vetor CVSS e da classe da fraqueza. Pontos de partida, não regras testadas.
- Priorize telemetria de borda para o componente exposto na rede (proxy, WAF, IDS/IPS).
Linha do tempo
O que aconteceu com esta CVE, do mais recente ao mais antigo.
- 2026
- Produtos afetados adicionados · haproxy technologies/haproxy community edition
- Avaliação SSVC atualizada
- Ficha publicada
- CVSS alterado · 7.5
- Status na fonte alterado · → Analyzed
- Registro criado nesta base
- 2025
- CVE publicada
Atividade das fontes
Leituras que se repetem foram contadas em vez de listadas.
- 1× Descrição oficial atualizada · 13/10/2026 – 13/10/2026
Referências
1 no registro
Em outras páginas do site
CVEs relacionadas (mesmos produtos)
- Baixa CVE-2026-26080 Unchecked Return Value em Haproxy 20/07/2026
- Média CVE-2026-26081 HAProxy Community Edition 3.0 through 3.3 before 3.3.3 lacks a length check for the… 20/07/2026
- Crítica CVE-2026-55203 HAProxy - Integer Overflow in FCGI Demux Record Length Field 18/06/2026
- Alta CVE-2026-55204 HAProxy - NULL Pointer Dereference in hpack_dht_insert Function 18/06/2026
- Média CVE-2026-33555 An issue was discovered in HAProxy before 3.3.6. The HTTP/3 parser does not check that… 13/04/2026
- Média CVE-2025-59303 HAProxy Kubernetes Ingress Controller before 3.1.13, when the config-snippets feature… 08/10/2025
Não consta em nenhuma fonte consultada
Listado em vez de deixado em branco: um campo vazio e um não medido parecem iguais na tela, e só um deles é motivo para procurar em outro lugar.
- Nenhuma versão corrigida, patch ou mitigação documentada.
- Nenhum IOC confirmado (IPs, domínios, hashes ou artefatos de malware) fornecido.
- Nenhum inventário de ativos, controle compensatório ou evidência de implantação de patch da sua organização.
- Nenhuma captura de tráfego de exploração, amostra de log ou caso de incidente.
Respondido a partir deste registro
Texto montado apenas com os campos acima — sem afirmações adicionais.
O que os defensores devem saber primeiro?
CVE-2025-11230 é "Denial of service vulnerability in HAProxy mjson library", de severidade Alta. Afeta Aloha Appliance (Haproxy); as versões estão na tabela de escopo. Não está na CISA KEV, o que não exclui exploração. CVSS 7.5 descreve a severidade técnica. EPSS 0.69% estima a probabilidade de exploração em 30 dias; nenhum dos dois substitui o contexto dos seus ativos. Verifique primeiro se ativos expostos ou críticos executam as versões afetadas, aplique as correções ou mitigações do fabricante e preserve logs para análise.
Comentários
Discussão técnica moderada. Leia as regras da comunidade.
Nenhum comentário ainda.
Entre ou crie uma conta para comentar e sugerir correções.