Оно работает только если запаролить директорию с cgi-bin, что неприемлемо.
Я думаю это связано с тем, что апач отказывается передавать параметры авторизации обработчику из незащищенной области. Я думал, что может быть директива или мод, который за это отвечает.