CVE-2024-47252
ŚrednieStreszczenie
Niewystarczające zabezpieczenie danych dostarczanych przez użytkownika w mod_ssl w Apache HTTP Server 2.4.63 i wcześniejszych wersjach pozwala na wprowadzenie znaków ucieczki do plików dziennika przez nieufnego klienta SSL/TLS w niektórych konfiguracjach.
Ocena ryzyka
Może to prowadzić do ujawnienia wrażliwych informacji w logach, co stwarza ryzyko dla bezpieczeństwa organizacji oraz może być wykorzystane do ataków typu injection.
Rekomendacja
Zaleca się aktualizację Apache HTTP Server do najnowszej wersji oraz przegląd konfiguracji logowania, aby zminimalizować ryzyko związane z wprowadzaniem niebezpiecznych danych.
Oryginalny opis (angielski, źródło NVD)
Insufficient escaping of user-supplied data in mod_ssl in Apache HTTP Server 2.4.63 and earlier allows an untrusted SSL/TLS client to insert escape characters into log files in some configurations. In a logging configuration where CustomLog is used with "%{varname}x" or "%{varname}c" to log variabl