CVE-2025-23048
Apache HTTP Server: omisión del control de acceso en mod_ssl con reanudación de sesión
- Publicado
- 10 jul 2025
- Actualizado
- 26 feb 2026
- Asignación de CNA
- apache
- Evidencia observada
- 28 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NBajo · próximos 30 días
- Percentil
- 61,0 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
En algunas configuraciones de mod_ssl en Apache HTTP Server (versión 2.4.35 a 2.4.63), es posible que los clientes de confianza omitan el control de acceso mediante la reanudación de sesión TLS 1.3. Las configuraciones se ven afectadas cuando mod_ssl se configura para varios hosts virtuales, cada uno restringido a un conjunto diferente de certificados de cliente de confianza (por ejemplo, con una configuración SSLCACertificateFile/Path diferente). En tal caso, un cliente con acceso de confianza a un host virtual podría acceder a otro si SSLStrictSNIVHostCheck no está habilitado en ninguno de los hosts virtuales.
Fuentes
1Las versiones 2.4.35 – 2.4.63 de Apache HTTP Server son vulnerables a una omisión de autenticación de certificados de cliente cuando se utiliza la reanudación de sesión TLS 1.3 entre hosts virtuales con diferentes directivas `SSLCACertificateFile`.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.