CVE-2024-47252
MediumSummary
Niewystarczające zabezpieczenie danych dostarczanych przez użytkownika w mod_ssl w Apache HTTP Server 2.4.63 i wcześniejszych wersjach pozwala na wprowadzenie znaków ucieczki do plików dziennika przez nieufnego klienta SSL/TLS w niektórych konfiguracjach.
Risk Assessment
Może to prowadzić do ujawnienia wrażliwych informacji w logach, co stwarza ryzyko dla bezpieczeństwa organizacji oraz może być wykorzystane do ataków typu injection.
Recommendation
Zaleca się aktualizację Apache HTTP Server do najnowszej wersji oraz przegląd konfiguracji logowania, aby zminimalizować ryzyko związane z wprowadzaniem niebezpiecznych danych.
Original NVD description (English source)
Insufficient escaping of user-supplied data in mod_ssl in Apache HTTP Server 2.4.63 and earlier allows an untrusted SSL/TLS client to insert escape characters into log files in some configurations. In a logging configuration where CustomLog is used with "%{varname}x" or "%{varname}c" to log variabl