Dans Echo, une mise à niveau WebSocket rejetée par l’upstream pouvait laisser les requêtes HTTP suivantes contourner le routeur et les contrôles d’accès propres aux routes Echo. Le risque concerne les routes proxy exposées lorsque l’upstream conserve la connexion et que la ressource visée ne dispose pas de sa propre autorisation.
Source : GHSA-cxf3-9h37-7rr8 — Echo: Rejected WebSocket upgrades can bypass Echo route-level access controls
Analyse technique
Le proxy choisissait un tunnel brut avant de valider la réponse de mise à niveau de l’upstream. Le correctif utilise le reverse proxy HTTP de Go et n’établit un tunnel qu’après une réponse de mise à niveau valide.
Impact, versions et correctif
Détection / vérification
Vérifier si les routes Echo Proxy acceptent des demandes de mise à niveau WebSocket et si les ressources de l’upstream sont protégées indépendamment des contrôles de route Echo.
Action recommandée
Mettre à niveau vers Echo v4.16.1 ou v5.4.1; à défaut, appliquer les mesures de contournement indiquées.
Sources
Priorisation DFS : P3 · 1 source(s).