CVE-2026-35037 : Contrefaçon de requête côté serveur en Aller
// Résumé exécutif
Le point de terminaison GET /api/website/title accepte une URL arbitraire via le paramètre de requête website_url et lui envoie une requête HTTP côté serveur sans aucune validation de l'hôte cible ou de l'adresse IP. Le point de terminaison ne nécessite aucune authentification. Un attaquant peut l'utiliser pour atteindre les services réseau internes, les points de terminaison de métadonnées du cloud (169.254.169.254) et les services liés à l'hôte local, avec des données de réponse partielles exfiltrées via l'extraction de la balise HTML <title>.
Le CVE-2026-35037 la vulnérabilité affecte Aller et représente un Contrefaçon de requêtes côté serveur de haute gravité défaut avec des conséquences concrètes pour les organisations exécutant les versions concernées.
Reconnaissance du réseau interne
Les attaquants peuvent sonder les services internes, les points de terminaison de métadonnées du cloud et les applications liées à l'hôte local.
Vol d'identifiants cloud
Les points de terminaison des métadonnées des instances AWS/GCP/Azure peuvent être interrogés pour voler les informations d'identification IAM et les jetons d'API.
Contournement du pare-feu
Le serveur vulnérable agit comme un proxy, contournant les ACL du réseau pour atteindre une infrastructure autrement protégée.
Suivez ces étapes pour déterminer si vos systèmes sont exposés à CVE-2026-35037:
Liste de contrôle de détection
- Identifiez toutes les instances de Aller déployés dans votre environnement (déploiements sur site, cloud et conteneurisés).
- Vérifiez la version de votre installation Go – les versions vulnérables sont indiquées dans l’avis CVE.
- Examinez les journaux d'accès pour détecter les modèles de requêtes anormaux cohérents avec Contrefaçon de requête côté serveur tentatives d'exploitation.
- Recherchez des indicateurs de compromission (IOC), notamment des apparitions de processus inattendues, des connexions réseau inhabituelles ou des fichiers de configuration modifiés.
- Exécutez le scanner de vulnérabilités automatisé de KENSAI sur votre déploiement Go pour confirmer l'exposition en quelques minutes.
- Vérifiez votre SIEM/IDS pour les alertes faisant référence à ce CVE ou aux signatures d’attaque associées publiées par les fournisseurs de renseignements sur les menaces.
Actions immédiates requises
- Appliquez immédiatement le correctif du fournisseur — mise à jour Accédez à la dernière version corrigée comme spécifié dans l'avis CVE.
- Si un correctif immédiat n'est pas possible, mettez en œuvre des mesures d'atténuation temporaires telles que des règles WAF pour bloquer les tentatives d'exploitation.
- Isolez le système concerné du réseau interne jusqu’à ce qu’il soit corrigé pour empêcher les mouvements latéraux des attaquants.
- Appliquez l’authentification multifacteur (MFA) sur tous les comptes ayant accès au système concerné comme mesure de défense en profondeur supplémentaire.
- Restreignez l'accès réseau au composant vulnérable à l'aide de règles de pare-feu, en limitant l'exposition aux plages IP approuvées uniquement.
- Auditez et alternez toutes les informations d'identification (mots de passe, clés API, jetons) qui auraient pu être accessibles à un attaquant en cas d'exploitation.
- Activez une journalisation et des alertes complètes pour le composant concerné afin de détecter toute tentative d'exploitation en cours.
- Effectuez une analyse de vérification post-correctif pour confirmer que la vulnérabilité a été corrigée avant de remettre le système en production.
- Examinez les systèmes et dépendances associés qui peuvent être affectés par la même classe de vulnérabilité.
Qu’est-ce que CVE-2026-35037 ?
CVE-2026-35037 est une vulnérabilité de haute gravité de falsification de requêtes côté serveur affectant Go. Il a un score CVSS de 7,2 et nécessite une attention immédiate de la part des équipes de sécurité.
Quelle est la gravité du CVE-2026-35037 ?
Avec un indice de gravité ÉLEVÉ et un score CVSS de 7,2, CVE-2026-35037 représente un risque de sécurité important. Les organisations utilisant Go doivent considérer la remédiation comme une priorité élevée.
Le CVE-2026-35037 est-il activement exploité ?
Les chercheurs en sécurité ont publié des détails sur cette vulnérabilité. Surveillez le catalogue KEV de CISA et vos flux de renseignements sur les menaces pour connaître les mises à jour sur l'état d'exploitation. Appliquez le correctif quel que soit l’état d’exploitation actuel.
Comment puis-je réparer CVE-2026-35037 ?
La principale solution consiste à appliquer le correctif fourni par le fournisseur pour Go. Si l'application de correctifs n'est pas immédiatement possible, mettez en œuvre des contrôles compensatoires temporaires tels que des règles WAF ou des restrictions d'accès au réseau pendant que le correctif est planifié.
Le CVE-2026-35037 affecte-t-il mon organisation ?
Si votre organisation utilise Go, vous devez évaluer votre exposition immédiatement. Vérifiez les versions spécifiques concernées dans l'avis CVE et exécutez une analyse de vulnérabilité automatisée pour confirmer votre statut d'exposition.