CVE-2025-23419
Salida de traducción: Vulnerabilidad de reanudación de sesión TLS
- Publicado
- 5 feb 2025
- Actualizado
- 23 ene 2026
- Asignación de CNA
- f5
- Evidencia observada
- 14 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 85,7 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Cuando se configuran varios bloques de servidores para compartir la misma dirección IP y puerto, un atacante puede usar la reanudación de sesión para eludir los requisitos de autenticación de certificados de cliente en estos servidores. Esta vulnerabilidad surge cuando se utilizan tickets de sesión TLS https://nginx.org/en/docs/http/ngx_http_ssl_module.html#ssl_session_ticket_key y/o se utiliza la caché de sesión SSL https://nginx.org/en/docs/http/ngx_http_ssl_module.html#ssl_session_cache en el servidor predeterminado y este está realizando la autenticación de certificados de cliente. Nota: Las versiones de software que han llegado al final del soporte técnico (EoTS) no se evalúan.
Fuentes
1- CVE-2025-23419Exploit
Probador de explotación de reutilización de sesión TLS basado en Python que verifica vulnerabilidades de omisión de autenticación en servidores mal configurados que requieren autenticación de certificado de cliente.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.