Apache: повтор старого Digest-пароля (CVE-2026-73636)
При AuthDigestNonceLifetime 0 Apache 2.4.0–2.4.68 позволял повторить уже перехваченный Digest-ответ. Обновитесь до 2.4.69. Без Digest-входа и этой настройки дефект не применяется.
Коротко о главном
- Чем опасно
- Тот, кто уже перехватил Digest-ответ, мог использовать его снова
- С чего начать защиту
- Обновите Apache до 2.4.69 или новее.
- Как подтвердить
- Нужны ручной аудит и проверка реализации. Отсутствие находок во внешнем скане не подтверждает безопасность.
- Продукт
- Apache HTTP Server
- Оценка риска
- Уровень зависит от конфигурации
Как проверить и что учитывать
Нужна ручная проверка
Снаружи не видно, включён ли Digest и чему равен AuthDigestNonceLifetime. FindRisk не подтверждает CVE-2026-73636. Это настройка на сервере. Не делайте вывод о наличии уязвимости только по одному внешнему признаку: подтвердите результат в настройках и версии компонента.
Что нужно для подтверждения
Дефект требует Digest-аутентификации и нулевого времени жизни nonce.
Ограничения вывода
- Обычный вход по форме сайта и Basic-доступ сюда не относятся.
- Проект Apache оценил дефект как низкий. Отдельный балл в этой статье не приводим.
Что произошло
mod_auth_digest проверяет одноразовость ответа. При AuthDigestNonceLifetime 0 запрос мог стереть запись клиента из общей памяти, и уже перехваченный Digest-ответ принимался снова.
Apache опубликовал это 1 октября 2026 года как low и исправил в 2.4.69. Это другой вопрос, чем обход выражения SSLRequire.
Кого это касается
Затронут Apache HTTP Server 2.4.0–2.4.68 только с Digest-аутентификацией и AuthDigestNonceLifetime 0. Остальные схемы входа бюллетень не включает.
Класс CWE-294 указан проектом. Записи KEV нет.
| Версии | Когда применимо | Исправление |
|---|---|---|
| 2.4.0–2.4.68 | Digest и AuthDigestNonceLifetime 0 | 2.4.69 |
Как проверить установленную версию
Версию смотрите локально. Настройку nonce ищите в файлах Apache, а не на публичной странице.
apachectl -vКак снизить риск
Обновление до 2.4.69 закрывает повтор. Пока патч не поставлен, не держите нулевое время жизни nonce на доступном из интернета Digest-разделе.
Внешняя проверка домена не видит эту настройку и не заменяет чтение конфигурации.
Что может произойти
- Тот, кто уже перехватил Digest-ответ, мог использовать его снова
- Для этого нужно положение посередине соединения и редкая настройка nonce
- Сайт без Digest-защиты эту ошибку не открывает
Как защититься
- 1Обновите Apache до 2.4.69 или новее.
- 2Найдите AuthDigestNonceLifetime. Значение 0 включало дефект. Если Digest не используется, удалять нечего, но версию всё равно обновите.
- 3Не оставляйте административный Digest-доступ открытым в интернет.
Как проходит проверка
Снаружи не видно, включён ли Digest и чему равен AuthDigestNonceLifetime. FindRisk не подтверждает CVE-2026-73636. Это настройка на сервере. Автоматический результат показывает внешний признак риска и требует проверки специалистом с учётом конкретной конфигурации.
Проверить другие внешние рискиЧто делать после обнаружения
- Сохраните конфигурацию mod_auth_digest до правки.
- Если Digest защищал важную панель и nonce lifetime был 0, смените пароли этого раздела.
- Проверьте, что после обновления вход по-прежнему спрашивает пароль.
Частые вопросы
Что означает риск «Apache: повтор старого Digest-пароля»?
При AuthDigestNonceLifetime 0 Apache 2.4.0–2.4.68 позволял повторить уже перехваченный Digest-ответ. Обновитесь до 2.4.69. Без Digest-входа и этой настройки дефект не применяется.
Можно ли подтвердить проблему только внешней проверкой?
Снаружи не видно, включён ли Digest и чему равен AuthDigestNonceLifetime. FindRisk не подтверждает CVE-2026-73636. Это настройка на сервере. Итог нужно сопоставить с конфигурацией, версиями и правами доступа на вашем сайте.
Что сделать в первую очередь?
Обновите Apache до 2.4.69 или новее.