CVE-2026-16756 – デフォルトの aws-smithy-http-server serve() パスで無制限にリソースを割り当てた場合に許可される未認証の Slowloris のサービス拒否
速報 ID: 2026-064-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 7 月 23 日 午前 11 時 30 分 (PDT)
説明:
Smithy-RS は、Smithy インターフェイス定義から HTTP クライアントとサーバーを生成する Rust コード生成およびランタイムフレームワークであり、AWS SDK for Rust とカスタムサービスの実装を強化します。AWS は CVE-2026-16756 を特定しました。この問題では、デフォルトの aws-smithy-http-server serve() パスで無制限にリソースを割り当てると、認証されていない「Slowloris」のサービス拒否が可能になります。
影響を受けるバージョン: aws-smithy-http-server <= 0.66.4
解決方法:
この問題は aws-smithy-http-server バージョン 0.66.5 で解決されています。最新バージョンにアップグレードし、フォークしたコードや派生コードにパッチを適用して新しい修正を反映させることをお勧めします。
回避策:
パッチを適用したバージョンにアップグレードする以外に回避策はありません。
参考情報:
謝辞:
協調的脆弱性開示プロセスを通じてこの問題の解決に協力してくださった独立セキュリティ研究者の Lav Kumar Vishwakarma 氏に感謝いたします。
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com までメールでお問い合わせください。