CVE-2026-13762: Bypass da inspeção do corpo de requisições HTTP/2 no Amazon CloudFront com AWS WAF

Visão geral

A CVE-2026-13762 descreve uma interpretação inconsistente de requisições HTTP/2 no Amazon CloudFront quando o AWS WAF está habilitado. Segundo o registro, requisições que dividem o corpo entre frames HTTP/2 podem fazer com que a inspeção do corpo pelas regras gerenciadas do WAF cubra apenas parte dele. A fraqueza é classificada como CWE-444 (HTTP Request Smuggling). A referência do fornecedor é o boletim de segurança da AWS 2026-048.

Impacto

A fonte descreve como resultado potencial o contorno da inspeção do corpo pelas regras gerenciadas do AWS WAF, o que poderia permitir que conteúdo malicioso chegue à aplicação protegida sem inspeção completa.
O CNA pontua o problema com CVSS 3.1 de 9,8 (Crítico), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica exploração pela rede, com baixa complexidade e sem privilégios ou interação do usuário. O CNA também informa uma pontuação CVSS 4.0 de 7,9.
O registro não descreve as consequências concretas para uma aplicação específica. Qualquer impacto desse tipo é uma inferência e depende das regras em uso e da aplicação atrás do WAF.

Produtos e versões afetadas

Produto: Amazon CloudFront, utilizado com o AWS WAF.
Versões: o registro informa 'versions not specified by the source' (versões não especificadas pela fonte). Não há faixa de versões afetadas nas fontes consultadas.
Versões corrigidas: nenhuma é listada no registro. A fonte informa que a correção foi aplicada do lado do servidor, então não se espera que o cliente atualize ou reconfigure algo, mas o registro não identifica uma versão corrigida.

Status de exploração

O catálogo Known Exploited Vulnerabilities da CISA não lista esta CVE no registro, portanto não há exploração registrada por essa fonte. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é de 0,00626 (percentil 0,48616), com data de 2026-10-13, que é uma estimativa de probabilidade e não evidência de exploração.

Correção e mitigação

Segundo a fonte, a correção foi aplicada pelo provedor do lado do servidor e nenhuma ação do cliente é necessária.
Mantenha os conjuntos de regras gerenciadas do AWS WAF e a configuração do CloudFront revisados em relação ao boletim oficial da AWS, seguindo qualquer orientação adicional publicada pela AWS.
Defesa em profundidade: não dependa exclusivamente da inspeção do corpo pelo WAF para validações críticas de segurança. Aplique validação de entrada e verificações de autorização na própria aplicação.

Orientações de detecção

Revise os logs do AWS WAF e os logs de acesso do CloudFront em busca de padrões incomuns de requisições HTTP/2, tamanhos de corpo inesperados ou eventos de bloqueio e permissão que não correspondam ao comportamento esperado.
Correlacione eventos do WAF com logs da aplicação para identificar requisições que chegaram à origem apesar de regras do WAF que deveriam tê-las bloqueado.
Trate essas verificações como monitoramento geral. O registro não fornece indicadores de comprometimento específicos.

Limitações das informações disponíveis

O registro não informa faixa de versões afetadas, identificadores de versões corrigidas nem uma descrição técnica detalhada além do resumo.
As fontes consultadas são os registros da NVD e do CVE.org e o boletim da AWS listado nas referências. O conteúdo completo do boletim da AWS não estava disponível além do que o registro cita.
As pontuações CVSS 3.1 e 4.0 são informadas pelo CNA e não foram verificadas de forma independente aqui.
Não é possível saber, pelo registro, se conjuntos de regras, tipos de requisição ou implantações específicas estão mais expostos.

Perguntas frequentes

O que é a CVE-2026-13762?

É um problema informado no Amazon CloudFront com AWS WAF habilitado, em que requisições HTTP/2 elaboradas, divididas entre frames, podem fazer a inspeção do corpo pelas regras gerenciadas do WAF analisar apenas parte do corpo da requisição.

Preciso tomar alguma providência?

A fonte informa que o problema foi corrigido do lado do servidor e que nenhuma ação do cliente é necessária. O registro não lista versões afetadas ou corrigidas, então vale consultar o boletim da AWS para orientações atuais.

Há exploração conhecida desta vulnerabilidade?

Ela não aparece no catálogo KEV da CISA neste registro, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.