CVE Intelligence
Análise Assistido por IA

CVE-2026-13763: Bypass da inspeção do corpo de requisições HTTP/2 pelo AWS WAF no AWS Application Load Balancer

A CVE-2026-13763 é uma falha crítica no Amazon Application Load Balancer com o AWS WAF habilitado, em que a interpretação inconsistente de requisições HTTP/2 pode permitir que atores remotos contornem a inspeção do corpo das regras gerenciadas. O CNA informa CVSS 3.1 9.8 e CVSS 4.0 7.9, e afirma que apenas grupos de destino HTTP/2 do ALB são afetados. A AWS indica a configuração "Inspect after sufficient data" no grupo de destino como caminho de remediação, e não há exploração confirmada nas fontes consultadas.

Publicada em 13/10/2026 · Atualizada em 13/10/2026 · Read in English

Visão geral

A CVE-2026-13763 descreve uma interpretação inconsistente de requisições HTTP/2 no Amazon Application Load Balancer (ALB) quando o AWS WAF está habilitado. Segundo a descrição do CNA, o corpo da requisição pode ser dividido entre frames HTTP/2 de forma que a inspeção do corpo pelas regras gerenciadas do AWS WAF avalie apenas parte dele. O registro classifica a falha como CWE-444 (HTTP Request Smuggling) e informa que somente grupos de destino HTTP/2 do ALB são afetados.

Impacto

O CNA afirma que a falha pode permitir que atores remotos contornem a inspeção do corpo pelas regras gerenciadas do AWS WAF. O CNA atribui pontuação CVSS 3.1 9.8 (Crítica), com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, e CVSS 4.0 7.9. Um bypass desse tipo significa que conteúdo malicioso em requisições pode deixar de ser filtrado como esperado. O registro não descreve os efeitos concretos sobre aplicações de backend, portanto o impacto prático em uma carga específica é desconhecido.

Produtos e versões afetadas

  • Produto: Amazon Application Load Balancer, especificamente grupos de destino HTTP/2 do ALB com AWS WAF associado.
  • Versões: o registro não traz informação de versão; a fonte não especifica versões afetadas.
  • Versões corrigidas: nenhuma é listada no registro.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro fornecido, portanto as fontes consultadas não estabelecem exploração ativa confirmada. A estimativa EPSS do registro é probabilidade de 0,00676 com percentil de 0,50976 (data 2026-10-13); o EPSS é uma estimativa preditiva e não prova de exploração.

Remediação e mitigação

  • Revise a orientação da AWS para este problema, listada nas referências, e verifique se o seu ambiente usa grupos de destino HTTP/2 do ALB junto com o AWS WAF.
  • Habilite a configuração de grupo de destino "Inspect after sufficient data" nos grupos de destino ALB afetados, conforme descrito na documentação do produto AWS.
  • Como o registro não lista versão corrigida, trate a configuração do grupo de destino como o caminho de remediação documentado e confirme o status atual junto à AWS.

Orientação para detecção

  • Faça um inventário dos grupos de destino ALB que usam HTTP/2 e têm AWS WAF associado, registrando se a configuração "Inspect after sufficient data" está habilitada.
  • Revise os logs do WAF em busca de requisições com tamanhos ou estruturas de corpo incomuns em caminhos HTTP/2, correlacionando-as com os logs da aplicação de backend.
  • Considere que um bypass pode deixar poucos eventos evidentes no WAF, por isso use a telemetria do backend e da aplicação como complemento.

Limitações das informações disponíveis

  • Não há números de versões afetadas ou corrigidas no registro.
  • O boletim de segurança da AWS é referenciado, mas seu conteúdo completo não faz parte do registro, portanto detalhes além da descrição do CNA são desconhecidos.
  • Não há análise técnica independente, prova de conceito ou relatos de exploração nas fontes consultadas, e esta análise não acrescenta nenhum.
  • O título do registro está vazio; o título desta análise foi escrito a partir da descrição.

Perguntas frequentes

O que é a CVE-2026-13763?

É uma falha crítica no Amazon Application Load Balancer com o AWS WAF habilitado, em que o tratamento inconsistente de requisições HTTP/2 pode permitir que atores remotos contornem a inspeção do corpo pelas regras gerenciadas.

Quais configurações são afetadas?

Segundo o registro, apenas grupos de destino HTTP/2 do ALB são afetados. O registro não especifica versões de software afetadas.

Como as organizações podem remediar?

A orientação da AWS presente no registro indica habilitar a configuração de grupo de destino "Inspect after sufficient data" associada ao load balancer ALB.

Esta vulnerabilidade está sendo explorada?

A CVE não aparece no catálogo KEV da CISA no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.