CVE-2025-49812
MediumSummary
W niektórych konfiguracjach mod_ssl na serwerze Apache HTTP w wersjach do 2.4.63, atak desynchronizacji HTTP umożliwia atakującemu typu man-in-the-middle przejęcie sesji HTTP poprzez aktualizację TLS. Dotyczy to tylko konfiguracji używających 'SSLEngine optional' do włączenia aktualizacji TLS.
Risk Assessment
Organizacje mogą być narażone na przejęcie sesji HTTP, co może prowadzić do kradzieży danych lub nieautoryzowanego dostępu do zasobów. Atakujący mogą manipulować komunikacją między klientem a serwerem.
Recommendation
Zaleca się unikanie używania 'SSLEngine optional' w konfiguracjach mod_ssl oraz aktualizację serwera Apache do najnowszej wersji, aby zminimalizować ryzyko.
Original NVD description (English source)
In some mod_ssl configurations on Apache HTTP Server versions through to 2.4.63, an HTTP desynchronisation attack allows a man-in-the-middle attacker to hijack an HTTP session via a TLS upgrade. Only configurations using "SSLEngine optional" to enable TLS upgrades are affected. Users are recommende