Vulnérabilité dans request-filtering-agent (CVE-2026-62985)
Résumé
Vulnérabilité dans request-filtering-agent (CVE-2026-62985). Risque d'opérations non autorisées ou de divulgation. Exploitable via RequestFilteringHttpAgent. Atténuation : mise à jour vers 3.2.1 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
RequestFilteringHttpAgent / RequestFilteringHttpsAgent block requests to private IPs, but the blocking happens via a synchronous throw inside createConnection() for literal private-IP hostnames (e.g. 169.254.169.254, 127.0.0.1). Node.js's http.request / http.get expects createConnection to emit an error asynchronously; a synchronous throw instead escapes the caller's req.on('error', ...) handler entirely and becomes an unhandled exception that crashes the process.
Affected
request-filtering-agent <= 3.2.0 (latest).
PoC (replicated live on 3.2.0)
const http = require('http');
const { RequestFilteringHttpAgent } = require('request-filtering-agent');
const agent = new RequestFilteringHttpAgent();
process.on('uncaughtException', e => {
console.log('CRASH:', e.message); // fires — process dies
});
const req = http.get({ hostname: '169.254.169.254', port: 80, agent });
req.on('error', e => { /* never reached for literal IPs */ });
Actual output:
request-filtering-agent@3.2.0 synchronous throw escaping error event:
UNCAUGHT EXCEPTION (process crash): DNS lookup 169.254.169.254(...) is not allowed. Because, It is private IP address.
*** CRASH CONFIRMED: createConnection throws sync, bypasses req.on("error") ***
Note: hostnames that resolve to private IPs (e.g. localhost) are handled via the async lookup path and correctly emit an error event — this asymmetry confirms the sync-throw is a defect.
Impact
Any…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-62985 a été découverte dans request-filtering-agent.
Des attaquants peuvent cibler un point d'entrée spécifique comme RequestFilteringHttpAgent à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 7.5/10.
Action : mettez à jour request-filtering-agent vers 3.2.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « request-filtering-agent CVE-2026-62985 » sur le site de l'éditeur.
CVE-2026-62985 (request-filtering-agent) — CWE-248 / CVSS v3 7.5
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : RequestFilteringHttpAgent / RequestFilteringHttpsAgent / throw / http.request
Correctif : 3.2.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-248) affecte request-filtering-agent. Les attaquants atteignent le code vulnérable via RequestFilteringHttpAgent sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de request-filtering-agent. Surface d'attaque : RequestFilteringHttpAgent / RequestFilteringHttpsAgent / throw / http.request.
Gravité : Élevée (CVSS 7.5/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 3.2.1.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'request-filtering-agent' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
request-filtering-agentを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade request-filtering-agent to 3.2.1ステージング環境で 3.2.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- web github.com
- web github.com
- web github.com
- web github.com