CVE-2026-2833

概要

Cloudflare が 開発 する Rust 製 HTTP プロキシ フレームワーク Pingora に HTTP Request Smuggling 脆弱性 が 発見 されました。HTTP/1.1 の connection upgrade 処理 に 問題 が あり、Upgrade ヘッダ を 含む リクエスト を 受け取った 際 に、バックエンド が アップグレード を 承認 する 前 に 接続 の 残り の バイト を 転送 して しまいます。

攻撃者 は Upgrade ヘッダ 付き の リクエスト の 直後 に 悪意 ある ペイロード を 送信 し、バックエンド に 別 の リクエスト として 解釈 させる こと が 可能 です。Cloudflare の CDN インフラ は この 脆弱性 の 影響 を 受けません が、Pingora を スタンドアロン で 利用 している デプロイメント は 対応 が 必要 です。

想定 される 影響

この 脆弱性 が 悪用 された 場合、以下 の 影響 が 考えられます：

• プロキシ レベル の ACL 制御 や WAF ロジック の バイパス
• キャッシュ や アップストリーム 接続 の ポイズニング により、正規 ユーザー が 攻撃者 の 意図 した レスポンス を 受信
• セッション ハイジャック や、信頼 された プロキシ IP から 発信 された よう に 見える リクエスト の 偽装

Pingora は 高性能 な HTTP プロキシ として 広く 利用 されており、特に リバース プロキシ や ロードバランサー として 外部 トラフィック に 直接 公開 されている 環境 での 影響 が 大きい です。

CVSS ベクトル

影響 を 受ける ソフトウェア

修正 バージョン と 回避策

• Pingora v0.8.0 以降 に アップグレード して ください
• 回避策: リクエスト フィルタ ロジック で Upgrade ヘッダ を 含む リクエスト に エラー を 返し、リクエスト ヘッダ 以降 の バイト 処理 を 停止 し、ダウンストリーム 接続 の 再利用 を 無効化 する
• 同時期 に 報告 された CVE-2026-2835（HTTP/1.0 Smuggling）および CVE-2026-2836（キャッシュ ポイズニング）も 併せて 対応 を 推奨 します

関連リンク

• NVD
• Pingora GitHub

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。