Echo: WebSocket-Proxy behält Verbindungen und Handler nach Client-Trennung

Zusammenfassung

Echo ist ein Go-Webframework. Dessen Proxy-Middleware kann Handler, Goroutinen und Netzwerkverbindungen offen halten, nachdem ein WebSocket-Client die Verbindung trennt, sofern der Upstream-Server seine Verbindung offen lässt. Wiederholte Verbindungen können diese Ressourcen anhäufen und den Server überlasten, was zu einer Denial-of-Service-Situation führt. Das Ausmass hängt davon ab, wie gut die Proxy-Route erreichbar ist, vom Verhalten des Upstreams und von den konfigurierten Verbindungsfristen.

Betroffen

• Echo v4 ab 4.15.0 bis vor 4.16.1
• Echo v5 ab 5.0.0 bis vor 5.4.1

Behoben in

• Echo v4: 4.16.1 oder neuer
• Echo v5: 5.4.1 oder neuer

Umgehung

• WebSocket-Proxy-Routen deaktivieren, bis das Update eingespielt ist.
• Alternativ begrenzte Verbindungslebensdauern und Ressourcenlimiten am Frontend und Upstream setzen.
• Server-Idle-Timeouts allein decken möglicherweise keine übernommenen WebSocket-Verbindungen ab.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
• Nicht im CISA-KEV-Katalog aufgeführt.
• Öffentlicher Proof of Concept: Unbekannt.

Unsere Empfehlung

• Prüfen, ob Go-Dienste github.com/labstack/echo/v4 oder /v5 importieren und die Proxy-Middleware mit WebSocket-Routen verwenden.
• Auf Echo 4.16.1 oder 5.4.1 oder neuer aktualisieren und prüfen, ob der Modulgraph eine gepatchte Version auflöst.
• Falls ein Update jetzt nicht möglich ist, WebSocket-Proxy-Routen deaktivieren oder die Workarounds anwenden.
• Aus ddem Internet erreichbare Anwendungen, die WebSockets proxyen, priorisieren; rein interne Nutzung oder Nutzung ohne WebSockets ist mit geringerem Risiko verbunden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-9969-6676-49h5 github.com
• Echo release v4.16.1 github.com
• Echo release v5.4.1 github.com
• Fix commit v4 (3fb0ba7) github.com
• Fix commit v5 (1855061) github.com
• OSV GHSA-9969-6676-49h5 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:45.