Ech0: SSRF não autenticado em GetWebsiteTitle permite acesso a serviços internos e metadados de nuvem

Um atacante pode explorar a vulnerabilidade CVE-2026-35037 para acessar recursos internos da rede que normalmente não seriam acessíveis externamente. Isso inclui serviços rodando em localhost, endpoints de metadados de nuvem que podem conter informações sensíveis sobre a infraestrutura (credenciais, chaves de API) e outros serviços internos. A exfiltração de dados é realizada através da extração parcial da resposta HTTP, especificamente o conteúdo da tag <title> do HTML retornado. A combinação de SSRF e a extração de dados permite que um atacante obtenha informações confidenciais sem a necessidade de autenticação, ampliando significativamente o impacto potencial.

Organizations deploying ech0 in environments with internal services or cloud infrastructure are at risk. Specifically, deployments that expose internal services via the internet or use cloud metadata endpoints for configuration are particularly vulnerable. Shared hosting environments where multiple users share the same ech0 instance are also at increased risk, as a compromised user could potentially exploit the vulnerability to access other users' data.

• linux / server: Use journalctl to filter for requests to the /api/website/title endpoint with unusual websiteurl parameters. Example: journalctl | grep '/api/website/title' | grep 'websiteurl=' • generic web: Use curl to test the /api/website/title endpoint with various URLs, including internal IP addresses and cloud metadata endpoints. Example: curl 'http://your-ech0-instance/api/website/title?website_url=http://169.254.169.254' • generic web: Examine access and error logs for requests to /api/website/title with suspicious or unexpected URLs. Look for patterns indicating attempts to access internal resources.

1. 2026-04-03Disclosure

   disclosure

1. Reservado2026-03-31
2. Publicada2026-04-03
3. Modificada2026-04-06
4. EPSS atualizado2026-04-14

A mitigação primária para CVE-2026-35037 é a atualização para a versão 1.4.8-0.20260401031029-4ca56fea5ba4 ou superior da biblioteca ech0. Se a atualização imediata não for possível devido a problemas de compatibilidade, considere a implementação de firewalls de aplicação web (WAF) ou proxies reverso para filtrar as requisições HTTP e bloquear URLs maliciosas. Além disso, configure regras de firewall para restringir o acesso à rede, permitindo apenas o tráfego necessário. Após a atualização, confirme a correção verificando se a requisição para /api/website/title com um website_url arbitrário não retorna mais dados sensíveis.