Echo v4: Denial of Service durch unbegrenzte gzip-Dekomprimierung
Zusammenfassung
Die optionale Decompress-Middleware in Echo v4 leitet gzip-dekomprimierte Anfragekörper ohne Grössenbegrenzung weiter. Eine kleine komprimierte Anfrage kann beim Lesen oder Binden durch einen Handler zu einem sehr grossen Körper expandieren und übermässig Speicher oder CPU verbrauchen. Wiederholte oder parallele Anfragen können dadurch einen Denial of Service verursachen. Die Middleware ist standardmässig nicht aktiviert, und die Begrenzung nur der komprimierten Grösse verhindert dies nicht.
Betroffen
- labstack/echo v4 ab 4.0.0 vor 4.16.1 (die Decompress-Middleware muss verwendet werden)
Behoben in
- Aktualisierung auf v4.16.1 (go get github.com/labstack/echo/v4@v4.16.1)
- Go 1.26 oder neuer ist für die gepatchten golang.org/x-Abhängigkeiten erforderlich
- Distributionsspezifische Fix-Versionen: Unbekannt.
Umgehung
- Gzip-Dekomprimierung von Anfragen auf exponierten Routen deaktivieren
- Die BodyLimit-Middleware nach Decompress platzieren, sodass die Begrenzung für die dekomprimierten Bytes gilt
- DecompressConfig.MaxDecompressedSize in v4.16.1 verwenden (Standard 100 MiB, -1 deaktiviert die Begrenzung)
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial
- VulDB meldet keinen öffentlichen Exploit
- Keine Berichte über aktive Ausnutzung gefunden; CISA-KEV-Status nicht geprüft
- EPSS: 0.37 % (Perzentil 31)
Unsere Empfehlung
- Prüfen, ob Echo-Anwendungen die Decompress-Middleware verwenden und Anfragekörper lesen oder binden (go.mod und Code prüfen)
- Betroffene Anwendungen auf v4.16.1 oder neuer aktualisieren
- Internetseitig erreichbare APIs, die gzip-kodierte Anfragekörper akzeptieren, priorisieren
- Speicher- und CPU-Auslastung dieser Dienste auf auffällige Spitzen überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-h7wr-284f-5qvc github.com
- Echo release v4.16.1 github.com
- Fix commit 3fb0ba7e github.com
- OSV CVE-2026-118261 osv.dev
- GitLab advisory mirror GHSA-h7wr-284f-5qvc advisories.gitlab.com
- VulDB CVE-2026-118261 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.