CVE-2026-35037: Falsificación de solicitudes del lado del servidor en Go
// Resumen ejecutivo
El endpoint GET /api/website/title acepta una URL arbitraria mediante el parámetro de consulta website_url y realiza una solicitud HTTP desde el servidor sin validar el host ni la dirección IP de destino. El endpoint no requiere autenticación. Un atacante puede aprovecharlo para acceder a servicios de la red interna, endpoints de metadatos en la nube (169.254.169.254) y servicios vinculados a localhost, con exfiltración parcial de los datos de respuesta mediante la extracción de la etiqueta HTML <title>.
La vulnerabilidad CVE-2026-35037 afecta a Go y representa un fallo de falsificación de solicitudes del lado del servidor de gravedad alta con consecuencias reales para las organizaciones que ejecutan versiones afectadas.
Reconocimiento de la red interna
Los atacantes pueden sondear servicios internos, endpoints de metadatos en la nube y aplicaciones vinculadas a localhost.
Robo de credenciales en la nube
Es posible consultar los endpoints de metadatos de instancias de AWS/GCP/Azure para robar credenciales IAM y tokens de API.
Elusión del cortafuegos
El servidor vulnerable actúa como proxy y elude las listas de control de acceso de red para llegar a infraestructura que, de otro modo, estaría protegida.
Siga estos pasos para determinar si sus sistemas están expuestos a CVE-2026-35037:
Lista de comprobación para la detección
- Identifique todas las instancias de Go desplegadas en su entorno (instalaciones locales, en la nube y en contenedores).
- Compruebe la versión de su instalación de Go; las versiones vulnerables se indican en el aviso de CVE.
- Revise los registros de acceso en busca de patrones de solicitudes anómalos compatibles con intentos de explotación mediante falsificación de solicitudes del lado del servidor.
- Busque indicadores de compromiso (IOC), como la ejecución inesperada de procesos, conexiones de red inusuales o archivos de configuración modificados.
- Ejecute el escáner automatizado de vulnerabilidades de KENSAI contra su despliegue de Go para confirmar la exposición en cuestión de minutos.
- Compruebe si su SIEM/IDS contiene alertas que hagan referencia a esta CVE o a firmas de ataque relacionadas publicadas por proveedores de inteligencia de amenazas.
Acciones inmediatas necesarias
- Aplique inmediatamente el parche del proveedor: actualice Go a la versión corregida más reciente especificada en el aviso de CVE.
- Si no es posible aplicar el parche de inmediato, implemente medidas de mitigación temporales, como reglas de WAF para bloquear los intentos de explotación.
- Aísle el sistema afectado de la red interna hasta que se aplique el parche, con el fin de impedir el movimiento lateral de los atacantes.
- Exija autenticación multifactor (MFA) en todas las cuentas con acceso al sistema afectado como medida adicional de defensa en profundidad.
- Restrinja el acceso de red al componente vulnerable mediante reglas de cortafuegos y limite la exposición exclusivamente a rangos de IP de confianza.
- Audite y renueve todas las credenciales (contraseñas, claves de API y tokens) a las que un atacante podría haber accedido si se produjo una explotación.
- Active un registro y un sistema de alertas completos para el componente afectado con el fin de detectar cualquier intento de explotación en curso.
- Realice un escaneo de verificación posterior a la aplicación del parche para confirmar que la vulnerabilidad se ha corregido antes de volver a poner el sistema en producción.
- Revise los sistemas y las dependencias relacionados que puedan verse afectados por la misma clase de vulnerabilidad.
¿Qué es CVE-2026-35037?
CVE-2026-35037 es una vulnerabilidad de falsificación de solicitudes del lado del servidor de gravedad alta que afecta a Go. Tiene una puntuación CVSS de 7.2 y requiere la atención inmediata de los equipos de seguridad.
¿Qué gravedad tiene CVE-2026-35037?
Con una clasificación de gravedad ALTA y una puntuación CVSS de 7.2, CVE-2026-35037 representa un riesgo de seguridad importante. Las organizaciones que utilizan Go deben considerar su corrección como una prioridad alta.
¿CVE-2026-35037 está siendo explotada activamente?
Los investigadores de seguridad han publicado información sobre esta vulnerabilidad. Consulte el catálogo KEV de CISA y sus fuentes de inteligencia de amenazas para conocer las novedades sobre su estado de explotación. Aplique el parche independientemente de su estado de explotación actual.
¿Cómo corrijo CVE-2026-35037?
La corrección principal consiste en aplicar el parche para Go proporcionado por el proveedor. Si no es posible aplicarlo de inmediato, implemente controles compensatorios temporales, como reglas de WAF o restricciones de acceso a la red, mientras se programa la aplicación del parche.
¿CVE-2026-35037 afecta a mi organización?
Si su organización utiliza Go, debe evaluar su exposición de inmediato. Consulte las versiones específicas afectadas en el aviso de CVE y ejecute un escaneo automatizado de vulnerabilidades para confirmar su estado de exposición.