]> git.kaiwu.me - haproxy.git/commit
BUG/MINOR: acme: exact domain match in acme_challenge_ready()
authorJérôme Billiras <bilhackmac@gmail.com>
Sat, 26 Sep 2026 19:25:39 +0000 (21:25 +0200)
committerWilliam Lallemand <wlallemand@irq6.net>
Sat, 26 Sep 2026 23:56:29 +0000 (01:56 +0200)
commit9e7c5d245f60e6cd8828dc20e973762184f02a63
tree0063e1017a91b45145703029a5fea7905efa4a88
parent0ceb8c65fc28b8db060a6a3f96cfc127a3a4b2f6
BUG/MINOR: acme: exact domain match in acme_challenge_ready()

acme_challenge_ready() compares the domain passed on the CLI (or via the
Lua ACME.challenge_ready() function) with strncmp() limited to the
length of the authorization's domain. This is a prefix match: with a
certificate covering "example.com" and "example.com.au", signaling
"example.com.au" also marks the "example.com" challenge as ready.

Use isteq() so that only the exact domain matches.

This should be backported to 3.3. The code was moved into
acme_challenge_ready() in 3.5, so the fix has to be applied to
cli_acme_chall_ready_parse() in older versions.
src/acme.c