FICHE CVE

CVE-2016-4694

Publiée le 2016-09-25 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations d'Apache HTTP Server sur les anciennes versions d'Apple OS X et d'OS X Server sont vulnérables à cette faille. Un attaquant distant non authentifié peut envoyer une requête HTTP spécialement conçue pour tromper une application CGI et forcer le routage de son trafic sortant via un serveur proxy malveillant. Ce processus est facile à exécuter car il ne nécessite aucune interaction de l'utilisateur ni d'identifiants préalables, permettant potentiellement à l'attaquant d'intercepter ou de modifier des données sensibles envoyées par le serveur.

CVSS 3.09.1 CRITIQUE

Type de faiblesse

Contrôle d'accès incorrect · CWE-284

Publiée2016-09-25

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

The Apache HTTP Server in Apple OS X before 10.12 and OS X Server before 5.2 follows RFC 3875 section 4.1.18 and therefore does not protect applications from the presence of untrusted CGI client data in the HTTP_PROXY environment variable, which might allow remote attackers to redirect an application's outbound HTTP traffic to an arbitrary proxy server via a crafted Proxy header in an HTTP request, aka an "httpoxy" issue, a related issue to CVE-2016-5387.