CVE-2016-4694
KrytyczneStreszczenie
Serwer Apache HTTP w systemie Apple OS X przed wersją 10.12 oraz OS X Server przed wersją 5.2 nie chroni aplikacji przed nieufnymi danymi klienta CGI w zmiennej środowiskowej HTTP_PROXY. Może to umożliwić zdalnym atakującym przekierowanie ruchu HTTP aplikacji do dowolnego serwera proxy za pomocą spreparowanego nagłówka Proxy w żądaniu HTTP.
Ocena ryzyka
Organizacje mogą być narażone na ataki, które pozwalają na przekierowanie ruchu HTTP do nieautoryzowanych serwerów proxy, co może prowadzić do wycieku danych lub przechwycenia komunikacji.
Rekomendacja
Zaleca się aktualizację systemu do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie ruchu sieciowego w celu wykrycia potencjalnych prób ataków.
Oryginalny opis (angielski, źródło NVD)
The Apache HTTP Server in Apple OS X before 10.12 and OS X Server before 5.2 follows RFC 3875 section 4.1.18 and therefore does not protect applications from the presence of untrusted CGI client data in the HTTP_PROXY environment variable, which might allow remote attackers to redirect an application's outbound HTTP traffic to an arbitrary proxy server via a crafted Proxy header in an HTTP request, aka an "httpoxy" issue, a related issue to CVE-2016-5387.