CVE-2026-35037: Falsificação de requisições do lado do servidor em Go
// Sumário executivo
O endpoint GET /api/website/title aceita um URL arbitrário por meio do parâmetro de consulta website_url e faz uma solicitação HTTP do lado do servidor para ele sem qualquer validação do host de destino ou endereço IP. O endpoint não requer autenticação. Um invasor pode usar isso para alcançar serviços de rede internos, endpoints de metadados em nuvem (169.254.169.254) e serviços vinculados ao host local, com dados de resposta parciais exfiltrados por meio da extração de tags HTML <title>.
A vulnerabilidade CVE-2026-35037 afeta Go e representa uma falha de Falsificação de requisições do lado do servidor de alta gravidade com consequências reais para organizações que executam versões afetadas.
Reconhecimento de Rede Interna
Os invasores podem investigar serviços internos, endpoints de metadados em nuvem e aplicativos vinculados ao host local.
Roubo de credenciais na nuvem
Os endpoints de metadados de instância AWS/GCP/Azure podem ser consultados para roubar credenciais IAM e tokens API.
Ignorar firewall
O servidor vulnerável atua como um proxy, ignorando as ACLs da rede para alcançar uma infraestrutura que de outra forma estaria protegida.
Siga estas etapas para determinar se seus sistemas estão expostos a CVE-2026-35037:
Lista de verificação de detecção
- Identifique todas as instâncias de Go implantadas em seu ambiente (implantações locais, na nuvem e em contêineres).
- Verifique a versão instalada do Go; as versões vulneráveis são indicadas no comunicado do CVE.
- Revise os logs de acesso em busca de padrões de requisição anômalos compatíveis com tentativas de exploração de Falsificação de requisições do lado do servidor.
- Pesquise indicadores de comprometimento (IOCs), incluindo processos inesperados, conexões de rede incomuns ou arquivos de configuração modificados.
- Execute o scanner automatizado de vulnerabilidades do KENSAI na implantação do Go para confirmar a exposição em minutos.
- Verifique seu SIEM/IDS em busca de alertas que façam referência a esse CVE ou assinaturas de ataque relacionadas publicadas por fornecedores de inteligência contra ameaças.
Ações imediatas necessárias
- Aplique o patch do fornecedor imediatamente — atualize o Go para a versão corrigida mais recente, conforme especificado no comunicado do CVE.
- Se um patch imediato não for possível, implemente mitigações temporárias, como regras WAF, para bloquear tentativas de exploração.
- Isole o sistema afetado da rede interna até que seja corrigido para evitar movimentação lateral dos invasores.
- Aplique a autenticação multifator (MFA) em todas as contas com acesso ao sistema afetado como uma medida adicional de defesa em profundidade.
- Restrinja o acesso à rede ao componente vulnerável usando regras de firewall, limitando a exposição apenas a intervalos de IP confiáveis.
- Audite e rotacione todas as credenciais (senhas, chaves API, tokens) que podem ter sido acessíveis a um invasor caso tenha ocorrido exploração.
- Habilite registros e alertas abrangentes para o componente afetado para detectar quaisquer tentativas de exploração em andamento.
- Conduza uma verificação pós-patch para confirmar que a vulnerabilidade foi corrigida antes de retornar o sistema à produção.
- Revise os sistemas e dependências relacionados que podem ser afetados pela mesma classe de vulnerabilidade.
O que é CVE-2026-35037?
CVE-2026-35037 é uma vulnerabilidade de falsificação de requisições do lado do servidor de alta gravidade que afeta Go. Possui uma pontuação CVSS de 7.2 e requer atenção imediata das equipes de segurança.
Qual a gravidade do CVE-2026-35037?
Com uma classificação de gravidade ALTA e pontuação CVSS de 7.2, o CVE-2026-35037 representa um risco de segurança significativo. As organizações que usam Go devem tratar a correção como uma alta prioridade.
O CVE-2026-35037 é explorado ativamente?
Pesquisadores de segurança publicaram detalhes sobre esta vulnerabilidade. Monitore o catálogo KEV do CISA e seus feeds de inteligência de ameaças para atualizações de status de exploração. Aplique o patch independentemente do status de exploração atual.
Como faço para corrigir CVE-2026-35037?
A principal solução é aplicar o patch fornecido pelo fornecedor para Go. Se a correção não for possível imediatamente, implemente controles de compensação temporários, como regras WAF ou restrições de acesso à rede enquanto a correção estiver agendada.
O CVE-2026-35037 afeta minha organização?
Se sua organização usa Go, você deve avaliar sua exposição imediatamente. Verifique as versões afetadas específicas no comunicado da CVE e execute uma verificação automatizada de vulnerabilidades para confirmar seu status de exposição.