CVE-2026-12043
Publiée le 2026-06-12 · Dernière modification le 2026-10-26
Les applications utilisant la bibliothèque `aws-c-http` sont vulnérables lorsqu'elles se connectent à un serveur malveillant. En envoyant une séquence d'en-têtes HTTP/2 spécialement conçue, un attaquant distant peut provoquer une corruption de la mémoire pour potentiellement exécuter du code arbitraire sur la machine cliente. Cette attaque ne nécessite ni authentification ni privilèges particuliers, bien qu'elle dépende de l'initiation d'une connexion par l'utilisateur vers le serveur de l'attaquant.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Improper handling of HPACK dynamic table size updates in the AWS Common Runtime aws-c-http library might allow a remote threat actor operating a server to cause memory corruption on a connecting client application, potentially leading to arbitrary code execution, via a crafted sequence of HTTP/2 HEADERS frames. To remediate this issue, users should upgrade to aws-c-http version 0.11.0.