CVE-2026-33006

mediumPriorität · verfolgen · 10EPSS 0.006 · 46. PerzentilExploit · PoCDEEUNLRUUS

grimoire priorityP1 · Urgent

Exploitable?

Public exploit

1 exploit · PoC

Likely / severe?

0.56% (46th) EPSS

CVSS 4.8 · medium

Is it mine?

37 products

Prüfe deine Angriffsfläche

Who says so?

6 sources

cnnvd · enisa_euvd · fstec_bdu · cert_bund

EPSS · bewertet 2026-10-24

A timing attack against mod_auth_digest in Apache HTTP Server 2.4.66 allows a bypass of Digest authentication by a remote attacker. Users are recommended to upgrade to version 2.4.67, which fixes this issue.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

4.8

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.14.8mediumAV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:Nsecondary · FSTEC (BDU) RU

v3.14.8mediumCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:Nsecondary · ENISA EU

v3.14.8mediumCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:NsecondaryAusnutzbarkeit 2.2 · Auswirkung 2.5

v3.14.6mediumCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N/E:Psecondary · CVSS-BT (t0sche)

v3.14.8mediumCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:Nsecondary · NCSC-NL NL

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Trackcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-208USCWE-208USCWE-208US

Exploits (1)

Öffentlicher Proof-of-Concept- und Exploit-Code.

SimoesCTT/CTT-enhanced-Apache-mod_auth_digest-timing-attack-exploitCTT-Enhanced Apache mod_auth_digest Timing Attack — CVE-2026-33006 Remote Digest Authentication Bypass → 33-Layer Temporal Timing Attack Original vulnerability: Apache HTTP Server 2.4.66 (mod_auth_digest timing leak) CTVSS (Original): 4.8 (Medium) CTT-Enhanced CVSS: 7.5 (High) — Network, low complexity, temporal wedge evasionPoC · poc_in_github

betroffene Produkte (37)

Betroffene Produkte und Versionsbereiche.

Amazon Linux 2alle Versionencert_bundDEcpe:/o:amazon:linux_2:-
Debian Linuxalle Versionencert_bundDEcpe:/o:debian:debian_linux:-
Fedora Linuxalle Versionencert_bundDEcpe:/o:fedoraproject:fedora:-
Gentoo Linuxalle Versionencert_bundDEcpe:/o:gentoo:linux:-
IBM Business Automation Workflow 24.0.0-24.0.1alle Versionencert_bundDEcpe:/a:ibm:business_automation_workflow:24.0.0_-_24.0.1
IBM Business Automation Workflow 25.0.0-25.0.1alle Versionencert_bundDEcpe:/a:ibm:business_automation_workflow:25.0.0_-_25.0.1
IBM DevOps Code ClearCase 11.0.0-11.0.0.05alle Versionencert_bundDEcpe:/a:ibm:devops_code_clearcase:11.0.0_-_11.0.0.05
IBM HTTP Server 8.5alle Versionencert_bundDEcpe:/a:ibm:http_server:8.5
IBM HTTP Server 9.0alle Versionencert_bundDEcpe:/a:ibm:http_server:9.0
IBM Rational ClearCase 10.0.0-10.0.1.05alle Versionencert_bundDEcpe:/a:ibm:rational_clearcase:10.0.0_-_10.0.1.05
IBM Rational ClearCase 9.1.0-9.1.0.10alle Versionencert_bundDEcpe:/a:ibm:rational_clearcase:9.1.0_-_9.1.0.10
IBM Rational ClearQuest 10.0-10.0.10alle Versionencert_bundDEcpe:/a:ibm:rational_clearquest:10.0_-_10.0.10
IBM Rational ClearQuest 9.1-9.1.0.11alle Versionencert_bundDEcpe:/a:ibm:rational_clearquest:9.1_-_9.1.0.11
IBM Tivoli Monitoringalle Versionencert_bundDEcpe:/a:ibm:tivoli_monitoring:-
Microsoft Azure Linux azl3alle Versionencert_bundDEcpe:/o:microsoft:azure_linux:azl3
Oracle Linuxalle Versionencert_bundDEcpe:/o:oracle:linux:-
RESF Rocky Linuxalle Versionencert_bundDEcpe:/o:resf:rocky_linux:-
Red Hat Enterprise Linuxalle Versionencert_bundDEcpe:/o:redhat:enterprise_linux:-
Red Hat JBoss Core Servicesalle Versionencert_bundDEcpe:/a:redhat:jboss_core_services:-
Red Hat JBoss Core Services 1alle Versionencert_bundDEcpe:/a:redhat:jboss_core_services:1

20 von 37 angezeigt

Advisories (3)

Hersteller- und Ökosystem-Meldungen dazu.

NCSC-2026-0134Kwetsbaarheden verholpen in Apache HTTP ServerNL2026-05-06csaf · ncsc_nlNL
Apache Software Foundation heeft meerdere kwetsbaarheden verholpen in Apache HTTP Server.
WID-SEC-W-2026-1354Apache HTTP Server: Mehrere SchwachstellenDeutsch2026-05-04csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Apache HTTP Server ausnutzen, um erweiterte Privilegien zu erlangen, beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand zu verursachen.
BIT-apache-2026-33006Apache HTTP Server: mod_auth_digest timing attack2026-05-05vendor · osvUS
A timing attack against mod_auth_digest in Apache HTTP Server 2.4.66 allows a bypass of Digest authentication by a remote attacker. Users are recommended to upgrade to version 2.4.67, which fixes this issue.

auch bekannt als (4)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu cert_bund ncsc_nl osv NVD CVE.org MITRE

veröffentlicht 2026-05-04geändert 2026-06-17

Referenzen (6)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan