low: mod_auth_digest reauthentication attack (CVE-2026-48005)

概要
CVE-2026-48005(重要度:low)は、Apache Software Foundation Apache HTTP Server の mod_auth_digest における認証チェックの欠如に起因する脆弱性です。Digest認証が有効で、かつ AuthDigestNcCheck が設定されている場合、認証されていないリモートのクライアントが偽造した Authorization ヘッダーを送ることで、サービス拒否(強制的な再認証)を引き起こせます。発見者は lokerxx 氏と Zhen Kong 氏です。

影響対象
Apache HTTP Server 2.4.0 から 2.4.68 まで(原文表記では 2.4.69 より前)で、全プラットフォームが対象です。影響を受けるのは、Digest認証が有効かつ AuthDigestNcCheck を使用している構成です。

修正版
2.4.69 で修正されており、原文はこの版へのアップグレードを推奨しています。2.4.x系への修正(r1937721)と 2.4.69 のリリースはいずれも 2026-10-01 です。報告の受領日は 2026-05-14 です。

回避策
原文に記載がなく、未確認です。

不明点
CVSSスコア、実際の悪用の有無、攻撃手法の技術的詳細、強制再認証が利用者に与える具体的な影響範囲は、いずれも原文に記載がなく未確認です。