AWSは、s2n-tlsライブラリにおける2つの脆弱性に関する重要な通知を発表しました。最初のCVE-2026-16317は、TLS 1.3で暗号化されたレコードのサイレントドロップです。この欠陥により、中間者攻撃者は検出されずに個々のデータレコードを削除できます。この問題は、TLS 1.3において、外部コンテンツタイプバイトが必須のapplication_data値に対して検証されないために発生します。その結果、この脆弱性はクライアントとサーバーの両方のすべてのTLS 1.3接続に影響します。TLS 1.2およびQUIC接続はこの特定の問題の影響を受けません。2番目の脆弱性CVE-2026-16318は、QUICトランスポートパラメータにおけるメモリリークです。これは、QUIC対応TLS 1.3接続のHelloRetryRequestフェーズ中に発生します。不適切なメモリ割り当て管理により、HelloRetryRequestが処理されるたびにリークが発生します。これにより、長時間稼働するサーバーのメモリ使用量が増加する可能性があります。このメモリリークの影響を受けるのは、QUICを利用するデプロイメントのみです。両方の脆弱性は、v1.7.5までのs2n-tlsバージョンに影響します。包括的な詳細は、リンクされた記事を参照することをお勧めします。