CVE-2026-13763
AWS · application load balancer
פורסם:
תקציר מנהלים
החולשה CVE-2026-13763 ב-AWS Application Load Balancer עם AWS WAF מאפשרת עקיפת בדיקת גוף הבקשה ב-Managed Rules באמצעות פיצול בקשות HTTP/2 בין frames, ועלולה לאפשר העברת תוכן זדוני ליישומים; היא משפיעה רק על Target Groups מסוג HTTP/2, ולא ידוע על ניצול בפועל. מומלץ להפעיל בהקדם את ההגדרה Inspect after sufficient data ב-Target Groups הרלוונטיים המשויכים ל-ALB, בהתאם להנחיות AWS.
תיאור טכני (מקור)
Inconsistent interpretation of HTTP/2 requests in AWS Application Load Balancer with AWS WAF enabled might allow remote actors to bypass AWS WAF managed rule body inspection via crafted HTTP/2 requests that fragment the request body across frames so that only a partial body is inspected. This issue only impacts HTTP/2 ALB target groups. To remediate this issue, customers should enable the "Inspect after sufficient data" target group configuration associated to an ALB load balancer. Refer to: ( https://docs.aws.amazon.com/elasticloadbalancing/latest/application/edit-target-group-attributes.html#waf-http2-inspection )
מקורות והנחיות
חולשות נוספות של AWS
AWS · AWS
חולשת SQL injection במודול @aws-cdk/aws-redshift-alpha של AWS CDK בגרסאות הקודמות ל-2.274.0-alpha.0 מאפשרת לגורם המסוגל להשפיע על ערכי מאפייני construct להריץ פקודות SQL בהרשאות superuser ב-Amazon Redshift, ובכך לחשוף מידע עסקי ולאפשר גישה בלתי מורשית לכל משתמשי הקלאסטר. לא ידוע על ניצול החולשה; מומלץ לשדרג לגרסה 2.274.0-alpha.0 ומעלה ולבחון הרשאות קיימות לטבלאות שהוענקו ל-PUBLIC ולצמצמן לפי הצורך.
AWS · AWS
חולשת CVE-2026-14904 ב-AWS Research and Engineering Studio (RES) מאפשרת למשתמש מרוחק מאומת לנצל טיפול לקוי ב-symbolic links ב-API Auth.GetUserPrivateKey לקריאת קבצים בהרשאות root על מופע ה-EC2 של cluster-manager, לרבות מפתחות SSH של משתמשים אחרים וסודות תצורה, באופן העלול לאפשר גישה בלתי מורשית למשאבים ותנועה רוחבית. לא ידוע על ניצול החולשה בפועל; מומלץ לשדרג ל-RES בגרסה 2026.06.
AWS · advanced jdbc wrapper
חולשת CVE-2026-14265 ב-RemoteQueryCachePlugin של AWS Advanced JDBC Wrapper בגרסאות 3.3.0–4.0.0 מאפשרת לתוקף בעל הרשאת כתיבה ל-Redis או Valkey משותף להרעיל תוצאות שאילתות ולגרום להרצת קוד שרירותי בשרתי האפליקציה באמצעות Deserialization לא מסונן, תוך סיכון למידע עסקי ולרציפות השירות. לא ידוע על ניצול בפועל; מומלץ לשדרג לגרסה 4.0.1 ומעלה ולהגביל הרשאות כתיבה וגישה לתשתית ה-Cache.
AWS · AWS
חולשת OS command injection (CVE-2026-13760, CVSS 7) ב-AWS aws-cdk-lib מאפשרת לתוקף השולט במחרוזות גרסה של תלויות ב-package.json להריץ פקודות שרירותיות על המארח המריץ את CDK, בעת Docker bundling של NodejsFunction עם nodeModules מוגדרים, ובכך לסכן סודות ותוצרי בנייה בסביבת הפיתוח או ה-CI/CD. לא ידוע על ניצול בפועל; מומלץ לשדרג ל-v2.260.0 ולהדק בקרה על שינויים בתלויות בפרויקט.