CVE-2026-118262 Denegación de servicio en Echo vía proxy WebSocket que retiene conexiones tras la desconexión
Echo, framework web de Go, desde 4.15.0 hasta 4.16.1 y 5.4.1 permite que el middleware Proxy retenga un manejador, goroutines de copia y conexiones de red después de que un cliente WebSocket se desconecta si el upstream mantiene su conexión abierta. El proxy espera ambas direcciones de copia sin cerrar de forma confiable la conexión par cuando una termina, incluso cuando una respuesta de actualización rechazada usa HTTP keep-alive. Conexiones repetidas pueden acumular recursos y causar denegación de servicio…
CVSS 4.0
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 23
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
labstack echo
>= 4.15.0, < 4.16.1>= 5.0.0, < 5.4.1
Qué hacer
- Verificá si usás echo y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 8.2 ALTA
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Echo is a Go web framework. From 4.15.0 until 4.16.1 and 5.4.1, Echo's Proxy middleware can retain a handler, copy goroutines, and network connections after a WebSocket client disconnects when the upstream keeps its connection open. The raw proxy waits for both copy directions without reliably closing the peer connection when one direction ends, including when a rejected upgrade response uses HTTP keep-alive. Repeated connections can accumulate resources and cause denial of service, depending on proxy-route accessibility, upstream behavior, and connection deadlines. This issue is fixed in 4.16.1 and 5.4.1.
Referencias (5)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.