JVNDB-2026-022120

Amazon.com, Inc.のApplication Load BalancerにおけるHTTP リクエストスマグリングに関する脆弱性

AWS WAFが有効なAWSアプリケーションロードバランサー（ALB）において、HTTP/2リクエストの解釈が一貫していないため、リモート攻撃者がリクエストボディを複数のフレームに分割した改ざんされたHTTP/2リクエストを使用し、一部のボディのみが検査される状況を作り出すことで、AWS WAFの管理ルールによるボディ検査を回避できる可能性があります。この問題はHTTP/2のALBターゲットグループにのみ影響します。問題を解決するために、顧客はALBロードバランサーに関連付けられているターゲットグループの設定で「十分なデータを検査してから検査する（Inspect after sufficient data）」を有効にしなければなりません。詳細は以下をご参照ください。 (https://docs.aws.amazon.com/elasticloadbalancing/latest/application/edit-target-group-attributes.html#waf-http2-inspection)

Amazon.com, Inc.

• Application Load Balancer

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Amazon.com, Inc.

• Amazon Linux Security Center : CVE-2026-13762 and CVE-2026-13763 - Issue with HTTP/2 multi-frame request body inspection in AWS WAF

1. HTTP リクエストスマグリング(CWE-444) [その他]

1. CVE-2026-13763

1. National Vulnerability Database (NVD) : CVE-2026-13763
2. 関連文書 : Edit target group attributes for your Application Load Balancer - Elastic Load Balancing

• [2026年07月03日]
    掲載