Apache httpd 2.2.x anteriores a 2.2.33 y 2.4.x anteriores a 2.4.26 presentan una vulnerabilidad en mod_ssl: cuando módulos de terceros invocan ap_hook_process_connection() durante una petición HTTP a un puerto HTTPS, se puede desreferenciar un puntero NULL (CWE-476). Con un CVSS de 9.8 y severidad CRITICAL según GitHub, el fallo puede provocar caídas del servicio o denegación de servicio en servidores web expuestos.
El riesgo es concreto: EPSS estima un 20% de probabilidad de explotación real en los próximos 30 días (percentil 97%), y Shodan tiene indexados 766.880 hosts con este CVE detectado. Si administras Apache con mod_ssl y módulos de terceros, actualiza a 2.2.33 o 2.4.26 según corresponda.
| CVE | CVE-2017-3169 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 20.0% en 30 días (percentil 97) |
| CWE | CWE-476 |
| Exposición (Shodan) | 766.880 host(s) expuesto(s) en internet ahora mismo |
Productos afectados (catálogo NVD)
apache/http_server