JVNDB-2026-036611

Apache Software FoundationのApache HTTP ServerにおけるCapture-replay による認証回避に関する脆弱性

Apache Software Foundation の Apache HTTP Server 2.4.x のすべてのプラットフォームにおける mod_auth_digest には、AuthDigestNonceLifetime が 0 に設定されている場合に、クライアントの共有メモリエントリのガベージコレクションを引き起こす改ざんリクエストを介して、マン・イン・ザ・ミドル（MITM）攻撃者がキャプチャしたダイジェスト認証資格情報をリプレイできる認証バイパスの問題があります。ユーザーはこの問題を修正したバージョン 2.4.69 にアップグレードすることを推奨します。

Apache Software Foundation

• Apache HTTP Server 2.4.0 以上 2.4.69 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Apache httpd 2.4 vulnerabilities : Apache HTTP Server 2.4 vulnerabilities - The Apache HTTP Server Project

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-73636: Apache HTTP Server: mod_auth_digest one-time-nonce replay attack

1. Capture-replay による認証回避(CWE-294) [その他]

1. CVE-2026-73636

1. National Vulnerability Database (NVD) : CVE-2026-73636

• [2026年10月06日]
    掲載