low: mod_auth_digest one-time-nonce replay attack (CVE-2026-73636)

概要
CVE-2026-73636(深刻度:low)は、Apache Software FoundationのApache HTTP Serverに含まれるmod_auth_digestの、ワンタイムnonceのリプレイ攻撃に関する脆弱性です。キャプチャ・リプレイによる認証回避が可能になります。中間者(MITM)攻撃者が細工したリクエストでクライアントの共有メモリエントリのガベージコレクションを引き起こし、キャプチャしたダイジェスト認証の資格情報を再送できます。発見者はHyojae Lee氏で、報告受領日は2026-06-08です。

影響対象
Apache HTTP Server 2.4.xのうち、2.4.0から2.4.68までが対象で、全プラットフォームに影響します。攻撃が成立する条件は、AuthDigestNonceLifetimeが0に設定されていることです。

修正版
2.4.69で修正されており、アップグレードが推奨されています。修正は2.4.xにr1937721として2026-10-01に取り込まれ、同日に2.4.69がリリースされました。

回避策
原文にはアップグレード以外の回避策の記載がなく、未確認です。

不明点
CVSSスコア、悪用の有無、2.4.x以外の系列への影響、mod_auth_digestを使っていない環境での扱い、攻撃の詳細な手順は、いずれも未確認です。