FICHE CVE

CVE-2024-47252

Publiée le 2025-07-10 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les serveurs Apache HTTP (version 2.4.63 et antérieures) utilisant des configurations de journalisation spécifiques à `mod_ssl` sont concernés. Un attaquant distant non authentifié peut envoyer des données TLS spécialement conçues pour insérer de fausses entrées ou masquer des informations dans les journaux de votre serveur. Cette action est facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur et seulement un accès réseau standard au serveur.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-150

Publiée2025-07-10

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Insufficient escaping of user-supplied data in mod_ssl in Apache HTTP Server 2.4.63 and earlier allows an untrusted SSL/TLS client to insert escape characters into log files in some configurations. In a logging configuration where CustomLog is used with "%{varname}x" or "%{varname}c" to log variables provided by mod_ssl such as SSL_TLS_SNI, no escaping is performed by either mod_log_config or mod_ssl and unsanitized data provided by the client may appear in log files.