Echo Proxy-Middleware: Abgelehnte WebSocket-Upgrades können Routenzugriffskontrollen umgehen

Zusammenfassung

Die Proxy-Middleware des Go-Webframeworks Echo öffnet bei einer WebSocket-Upgrade-Anfrage eines Clients einen rohen Tunnel zum Upstream, bevor geprüft wird, ob der Upstream das Upgrade akzeptiert hat. Lehnt der Upstream das Upgrade mit einer gewöhnlichen Keep-Alive-Antwort ab, werden spätere HTTP-Anfragen auf derselben Verbindung direkt an den Upstream gesendet und umgehen den Router und die routenspezifische Middleware von Echo. Ein Angreifer kann dadurch Authentifizierung oder Autorisierung umgehen, die nur über Echo-Routen durchgesetzt wird, sofern die Proxy-Route erreichbar ist, der Upstream eine solche Antwort liefert und dieser keine eigene Autorisierung prüft.

Betroffen

• Go-Modul github.com/labstack/echo/v4: 4.0.0 bis unter 4.16.1
• Go-Modul github.com/labstack/echo/v5: 5.0.0 bis unter 5.4.1

Behoben in

• Echo v4: 4.16.1 (Fix-Commit 3fb0ba7e17645bb65611e2a08875d0a2f65c421f)
• Echo v5: 5.4.1 (Fix-Commit 1855061e572ae9dab727c811d8382f266bfbaaec)
• Spätere Versionen v4.16.2 und v5.4.2 enthalten die Korrektur.
• Echo v4.16.1 erfordert Go 1.26 oder neuer.

Umgehung

• Upgrade-Anfragen für WebSocket vor dem Erreichen betroffener Echo-Proxy-Routen ablehnen.
• Autorisierung unabhängig auf jeder Upstream-Ressource durchsetzen.
• WebSocket-Unterstützung auf Proxy-Routen deaktivieren, wo sie nicht benötigt wird (Vorschlag eines Drittanbieters).
• Hinweis: Eine Antwort ohne 101 vom Upstream verhindert den verwundbaren Tunnel nicht.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn; nicht in CISA KEV gelistet.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Die Maintainer des Projekts haben das Problem auf v4.15.0, v4.16.0, v5.0.0 und v5.4.0 reproduziert.

Unsere Empfehlung

• Go-Dienste, die Echo verwenden, auf v4.16.1 oder v5.4.1 (oder neuer) aktualisieren. Beachten Sie, dass v4.16.1 Go 1.26 oder neuer erfordert.
• go.mod und SBOMs auf indirekte Nutzung von Echo prüfen, nicht nur auf direkte Importe.
• Feststellen, ob Echo-Proxy-Routen mit WebSocket-Unterstützung aus dem Internet erreichbar sind, und diese priorisieren.
• Bis zur Aktualisierung die oben genannten Massnahmen auf exponierten Proxy-Routen anwenden.
• Logs auf ungewöhnlich lange offene Verbindungen auf Proxy-Routen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-cxf3-9h37-7rr8 github.com
• Echo release v4.16.1 github.com
• Echo release v5.4.1 github.com
• Fix commit v4 (3fb0ba7) github.com
• Fix commit v5 (1855061) github.com
• Ubuntu CVE tracker ubuntu.com
• VulDB entry vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:15.