Le middleware Decompress d’Echo v4 pouvait décompresser des requêtes gzip sans limite de taille, permettant à un petit corps compressé de produire un corps décodé volumineux. La lecture de ce corps par les gestionnaires pouvait épuiser les ressources et provoquer un déni de service; le middleware n’est pas activé par défaut.
Source : GHSA-h7wr-284f-5qvc — Echo: Decompress permits unbounded gzip expansion in v4
Analyse technique
Le correctif ajoute DecompressConfig.MaxDecompressedSize, avec une valeur par défaut de 100 MiB lorsque la configuration vaut zéro. Une lecture au-delà de la limite retourne une erreur HTTP 413; la valeur -1 désactive explicitement la limite.
Impact, versions et correctif
Détection / vérification
Vérifier si le middleware Decompress est activé et si une limite effective s’applique à la taille du corps après décompression.
Action recommandée
Mettre à niveau vers Echo v4.16.1 et vérifier les limites appliquées après décompression.
Sources
Priorisation DFS : P3 · 1 source(s).