low: mod_auth_digest DoS attack (CVE-2026-73637)

概要
Apache Software FoundationのApache HTTP Serverに含まれるmod_auth_digestに、解放後使用(use after free)の脆弱性CVE-2026-73637があります。重要度はlow、表題は「mod_auth_digest DoS attack」です。認証されていないリモートのクライアントが、Digest認証リクエストを同時に送ることで、認証状態を破損させられます。報告の受領は2026-07-18です。発見者はZhen Kong氏とDarren Carreras(DarrenC)氏です。

影響対象
Apache HTTP Server 2.4.0から2.4.68までが対象で、全プラットフォームが含まれます。悪用されるのは、AuthDigestNcCheckが有効な場合、またはAuthDigestNonceLifetimeが0に設定されている場合です。

修正版
2.4.69で修正されています。2.4.xでは、2026-10-01にr1937721で修正されました。2.4.69は2026-10-01にリリースされています。原文では2.4.69へのアップグレードが推奨されています。

回避策
アップグレード以外の回避策は、原文に記載がないため未確認です。

不明点
次の点は原文に記載がなく、未確認です。
・CVSSスコア
・実際に悪用されているかどうか
・認証状態の破損がサービス停止にどうつながるかの詳細
・2.4系以外の版が影響を受けるかどうか