Dans Echo v5, ExtractIPFromRealIPHeader vérifiait l’adresse fournie par X-Real-IP au lieu de vérifier l’adresse du pair réseau direct. Un client non fiable pouvait ainsi faire accepter une adresse IP falsifiée par c.RealIP(), ce qui affecte les applications qui s’appuient sur cette valeur pour des décisions de sécurité.
Source : GHSA-h53f-rm2w-w7rg — Echo: X-Real-IP extractor trusts the header value instead of the sending peer
Analyse technique
Le correctif valide le pair direct avant d’accepter une valeur X-Real-IP syntaxiquement valide. Echo v4 et les applications utilisant l’extracteur IP direct ne sont pas concernés selon l’avis.
Impact, versions et correctif
Détection / vérification
Vérifier si l’application utilise ExtractIPFromRealIPHeader pour des listes d’autorisation, la limitation de débit ou des journaux d’audit fondés sur l’adresse IP.
Action recommandée
Mettre à niveau vers Echo v5.4.1 ou utiliser l’extracteur direct jusqu’à la mise à niveau.
Sources
Priorisation DFS : P4 · 1 source(s).