Denial-of-Service-lek in request-filtering-agent: onafgevangen exceptie kan Node.js-apps laten crashen (CVE-2026-62985)

Wat is er gebeurd

request-filtering-agent biedt RequestFilteringHttpAgent en RequestFilteringHttpsAgent, die bedoeld zijn om verbindingen naar private of gereserveerde IP-adressen te blokkeren. Vóór versie 3.2.1 gooide de createConnection-functie van de bibliotheek een synchrone exceptie wanneer een verzoek gericht was op een letterlijk private-IP-adres als host — zoals 169.254.169.254 of 127.0.0.1 — in plaats van de fout asynchroon af te handelen zoals de http.request- en http.get-API's van Node.js verwachten.

Technische oorzaak

De http.request- en http.get-functies van Node.js verwachten dat verbindingsfouten asynchroon worden doorgegeven via de standaard req.on('error')-gebeurtenis. Omdat createConnection in de kwetsbare versies synchroon een exceptie gooide bij het afwijzen van een letterlijk private-IP-adres als host, omzeilde deze fout req.on('error') volledig en werd het een onafgevangen exceptie op procesniveau. Hostnamen die via het asynchrone DNS-lookup-pad van de bibliotheek werden opgelost, ondervonden geen last van deze specifieke asymmetrie in foutafhandeling — het probleem beperkt zich tot letterlijke IP-adressen die direct als doel van het verzoek zijn opgegeven. Dit is geclassificeerd als CWE-248 (Uncaught Exception).

Waarom dit belangrijk is

Een onafgevangen exceptie in Node.js kan het hele proces laten crashen als er geen globale foutafhandelaar aanwezig is, wat resulteert in een denial of service voor de toepassing. Omdat de triggerconditie een verzoek naar een letterlijk private IP-adres betreft — iets wat een aanvaller kan veroorzaken in toepassingen die door gebruikers aangeleverde URL's of hosts doorgeven aan uitgaande HTTP-verzoeken — kan dit worden misbruikt om de beschikbaarheid te verstoren, zonder dat authenticatie of gebruikersinteractie nodig is.

Getroffen versies

Alle versies van request-filtering-agent vóór 3.2.1 zijn kwetsbaar. Het probleem is verholpen in versie 3.2.1.

Oplossingen en mitigatie

De leverancier heeft versie 3.2.1 uitgebracht, waarin het synchrone exceptiegedrag is verholpen. Toepassingen die request-filtering-agent gebruiken, wordt aangeraden zo snel mogelijk te upgraden naar 3.2.1 of hoger.

Aanbevolen actie

Upgrade request-filtering-agent naar versie 3.2.1 of hoger. Is directe upgrade niet mogelijk, zorg dan dat er globale exceptiehandlers aanwezig zijn in je Node.js-proces om te voorkomen dat een onafgevangen exceptie de toepassing beëindigt, en controleer codepaden die niet-vertrouwde of door gebruikers bepaalde hosts rechtstreeks doorgeven aan uitgaande HTTP-verzoeken.