Apache HTTP Server: Authentifizierungsumgehung durch Capture-Replay in mod_auth_digest
Zusammenfassung
Das Modul mod_auth_digest von Apache HTTP Server 2.4.x ist auf allen Plattformen für eine Umgehung der Digest-Authentifizierung durch Capture-Replay anfällig. Ein Angreifer in einer Man-in-the-Middle-Position kann mitgeschnittene Digest-Zugangsdaten über präparierte Anfragen wiederverwenden, welche die Garbage Collection des Shared-Memory-Eintrags des Clients auslösen. Der Angriff funktioniert nur, wenn AuthDigestNonceLifetime auf 0 gesetzt ist, was nicht der Standard ist (300 Sekunden).
Betroffen
- Apache HTTP Server 2.4.0 bis 2.4.68
- Nur mit geladenem mod_auth_digest, verwendetem AuthType Digest und AuthDigestNonceLifetime 0
- Standardkonfiguration ist gemäss CVE-Eintrag nicht betroffen
Behoben in
- Apache HTTP Server 2.4.69 (veröffentlicht am 01.10.2026)
Umgehung
- AuthDigestNonceLifetime auf einen Wert ungleich 0 setzen, falls Digest-Authentifizierung verwendet wird (eigene Einschätzung, nicht aus einer Herstellerquelle; zuerst Auswirkungen auf Clients prüfen)
- HTTPS für alle Digest-geschützten Inhalte erzwingen, da Digest keine Vertraulichkeit bietet
Ausnutzung
- Keine Ausnutzung im Feld bestätigt und kein öffentlicher Proof of Concept gefunden
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
- Laut Sekundärquellen nicht im CISA-KEV-Katalog aufgeführt (nicht verifiziert)
Unsere Empfehlung
- Apache-Instanzen inventarisieren und die Konfiguration auf AuthType Digest und AuthDigestNonceLifetime prüfen (z. B. mit grep -ri)
- Auf Apache HTTP Server 2.4.69 aktualisieren, wo mod_auth_digest verwendet wird, und vorab testen, da einzelne Konfigurationen (AuthDigestQop none, Mutex-Typ authdigest-opaque, RFC-2069-Clients) nicht mehr funktionieren könnten
- Prüfen, ob ein Reload oder SIGHUP-Neustart eine erfasste Anfrage erneut akzeptiert; eine Drittquelle meldet, dass dies in 2.4.69 nicht vollständig behoben ist (nicht verifiziert)
- Sicherstellen, dass HTTPS erzwungen und TLS korrekt konfiguriert ist
- Beachten, dass Apache das Problem als niedrig einstuft, während der CVSS-Wert 8.1 beträgt; der Angriff erfordert eine Man-in-the-Middle-Position
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache HTTP Server 2.4 vulnerabilities httpd.apache.org
- oss-security post CVE-2026-73636 www.openwall.com
- Ubuntu security CVE-2026-73636 ubuntu.com
- Clear Linux advisory via OSV (third party) osv.dev
- HKCERT security bulletin www.hkcert.org
- Apache mod_auth_digest documentation httpd.apache.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.