Echo v4: Speichererschöpfung in der BodyDump-Middleware
Zusammenfassung
Die optionale BodyDump-Middleware von Echo v4 liest vollständige Request-Bodies vor der Ausführung der Handler in den Speicher und behält vollständige Response-Bodies für den Dump-Callback ohne Grössenbegrenzung. Ein nicht authentifizierter Client, der eine Route mit aktivierter BodyDump-Middleware erreichen kann, kann grosse Request-Bodies senden oder grosse Responses auslösen, was wiederholte oder parallele Speicherallokationen verursacht und den Arbeitsspeicher des Prozesses erschöpfen kann. BodyDump ist standardmässig nicht aktiviert, und externe Request-Limits reduzieren die Exposition auf der Request-Seite, begrenzen aber nicht die Erfassung der Responses.
Betroffen
- labstack Echo v4 (github.com/labstack/echo/v4), Versionen ab 4.0.0 bis 4.16.0
- Betroffener Bereich gemäss CNA: >= 4.0.0, < 4.16.1
Behoben in
- Echo v4.16.1 (begrenzt BodyDump-Erfassungen standardmässig auf je 5 MiB)
Umgehung
- BodyDump auf exponierten Routen deaktivieren, insbesondere bei grossen Uploads und Downloads.
- Alternativ Body-Grössenlimits vor BodyDump durchsetzen und die von der Anwendung erzeugten Responses begrenzen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn; nicht im CISA KEV aufgeführt.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Öffentlicher Exploit-Code: nicht verifiziert.
Unsere Empfehlung
- Inventare (go.mod-Dateien, SBOMs) auf github.com/labstack/echo/v4-Versionen unterhalb 4.16.1 prüfen.
- Auf v4.16.1 oder neuer aktualisieren und ein Update der Go-Toolchain auf Version 1.26 oder neuer einplanen.
- Prüfen, ob BodyDump aktiviert ist; falls ja, die Einstellungen MaxRequestBytes und MaxResponseBytes überprüfen.
- Bis zur Behebung BodyDump auf Internet-exponierten Routen deaktivieren oder strikte Body-Grössenlimits anwenden.
- Speicherverbrauch und Neustarts betroffener Dienste überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-f48p-c9v4-h7xv github.com
- Echo release v4.16.1 github.com
- Fix commit 3fb0ba7e github.com
- OSV GHSA-f48p-c9v4-h7xv osv.dev
- Ubuntu CVE-2026-118260 ubuntu.com
- Vulners CVELIST:CVE-2026-118260 vulners.com
- Strix CVE-2026-118260 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:44.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.