ID du bulletin : 2026-048-AWS
Portée : AWS
Type de contenu : important (nécessite une attention particulière)
Date de publication : 29/06/2026 à 13 h 15 (heure du Pacifique)

Description :

AWS WAF est un pare-feu d’application Web qui surveille les requêtes HTTP(S) transmises à vos ressources d’application Web protégées. Nous avons identifié CVE-2026-13762 et CVE-2026-13763, qui sont des problèmes affectant l’inspection du corps de requête multi-trame HTTP/2 par AWS WAF.

CVE-2026-13762 affecte le déploiement d’AWS WAF avec CloudFront. Ce problème a été résolu côté serveur ; aucune action du client n’est requise.

CVE-2026-13763 affecte le déploiement d’AWS WAF avec AWS Application Load Balancer (ALB). Dans certaines conditions, une requête HTTP/2 multi-trame spécialement conçue pourrait entraîner l’inspection d’un corps de requête partiel uniquement. Ce problème a été résolu sur ALB, et les clients peuvent garantir une protection complète en configurant la manière dont AWS WAF inspecte les corps de requêtes HTTP/2 sur leur ALB.

Résolution :

Le 22 mai 2026, nous avons publié une nouvelle option de configuration sur ALB, qui résout ce problème. Nous recommandons aux clients de vérifier et de mettre à jour le comportement d’inspection du trafic HTTP/2 du WAF sous les attributs du groupe cible pour les points de terminaison HTTP/2. Cela permet à ALB de cumuler des trames de données HTTP/2 avant qu’AWS WAF n’effectue une inspection. Pour obtenir des instructions détaillées, consultez le guide du développeur.

Solutions de contournement :

Aucune solution de contournement n’est disponible.

Références :

• CVE-2026-13762
• CVE-2026-13763

Remerciements :

Nous tenons à remercier Kyungrok Choi, Woonghee Lee et Junbeom Hur de l’ISSLab de l’Université de Corée pour leur collaboration sur ces questions dans le cadre du processus coordonné de divulgation des vulnérabilités.

Veuillez envoyer un e‑mail à l’adresse aws-security@amazon.com pour toute question ou préoccupation en matière de sécurité.