In Apache httpd 2.2.x before 2.2.33 and 2.4.x before 2.4.26, use of the ap_get_basic_auth_pw() by third-party modules outside of the authentication phase may lead to authentication requirements being bypassed.
| CVE | CVE-2017-3167 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 20.2% en 30 días (percentil 97) |
| CWE | CWE-287 |
| Exposición (Shodan) | 1.308.274 host(s) expuesto(s) en internet ahora mismo |
Productos afectados (catálogo NVD)
apache/http_serverapple/mac_os_xdebian/debian_linuxnetapp/clustered_data_ontapnetapp/oncommand_unified_managernetapp/storagegridoracle/secure_global_desktopredhat/enterprise_linux
Técnica MITRE ATT&CK
T1078 – Valid Accounts
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.