CVE-2025-49812
ŚrednieStreszczenie
W niektórych konfiguracjach mod_ssl na serwerze Apache HTTP w wersjach do 2.4.63, atak desynchronizacji HTTP umożliwia atakującemu typu man-in-the-middle przejęcie sesji HTTP poprzez aktualizację TLS. Dotyczy to tylko konfiguracji używających 'SSLEngine optional' do włączenia aktualizacji TLS.
Ocena ryzyka
Organizacje mogą być narażone na przejęcie sesji HTTP, co może prowadzić do kradzieży danych lub nieautoryzowanego dostępu do zasobów. Atakujący mogą manipulować komunikacją między klientem a serwerem.
Rekomendacja
Zaleca się unikanie używania 'SSLEngine optional' w konfiguracjach mod_ssl oraz aktualizację serwera Apache do najnowszej wersji, aby zminimalizować ryzyko.
Oryginalny opis (angielski, źródło NVD)
In some mod_ssl configurations on Apache HTTP Server versions through to 2.4.63, an HTTP desynchronisation attack allows a man-in-the-middle attacker to hijack an HTTP session via a TLS upgrade. Only configurations using "SSLEngine optional" to enable TLS upgrades are affected. Users are recommende