Echo v5 : falsification de l’adresse IP via X-Real-IP

Veille sécuritéBackend & données

P4Moyenne

Dans Echo v5, ExtractIPFromRealIPHeader vérifiait l’adresse fournie par X-Real-IP au lieu de vérifier l’adresse du pair réseau direct. Un client non fiable pouvait ainsi faire accepter une adresse IP falsifiée par c.RealIP(), ce qui affecte les applications qui s’appuient sur cette valeur pour des décisions de sécurité.

IdentifiantAvis de sécurité

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctifv5.4.1

Source : GHSA-h53f-rm2w-w7rg — Echo: X-Real-IP extractor trusts the header value instead of the sending peer

Analyse technique

Le correctif valide le pair direct avant d’accepter une valeur X-Real-IP syntaxiquement valide. Echo v4 et les applications utilisant l’extracteur IP direct ne sont pas concernés selon l’avis.

Impact, versions et correctif

Événement datéAvis GHSA publié le 2026-10-23 à 20:50:25Z, dans la période demandée.

ImpactUne adresse IP falsifiée peut fausser les contrôles d’accès, la limitation de débit ou les journaux qui font confiance à l’adresse dérivée.

Versions affectéesgithub.com/labstack/echo/v5 : >= 5.0.0, < 5.4.1

Version corrigéev5.4.1

ContournementUtiliser ExtractIPDirect jusqu’à la mise à niveau, ou s’assurer que seuls des proxys de confiance peuvent atteindre Echo et qu’ils remplacent les en-têtes de transfert fournis par le client.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.3

Publication2026-10-23T20:50:25Z

Mise à jour2026-10-23T20:50:27Z

Détection / vérification

Vérifier si l’application utilise ExtractIPFromRealIPHeader pour des listes d’autorisation, la limitation de débit ou des journaux d’audit fondés sur l’adresse IP.

Action recommandée

Mettre à niveau vers Echo v5.4.1 ou utiliser l’extracteur direct jusqu’à la mise à niveau.

Sources

GHSA-h53f-rm2w-w7rg — Echo: X-Real-IP extractor trusts the header value instead of the sending peer

Priorisation DFS : P4 · 1 source(s).