跳到正文
热点事件持续更新

Echo 代理 WebSocket 升级绕过路由鉴权

1 篇报道1 个报道来源4 小时前更新

先了解这件事

AI 综述

GitHub 安全公告库发布公告称，Echo 的 Proxy 中间件在客户端请求 WebSocket 升级时，会先建立原始隧道，再校验上游是否接受升级。若上游返回普通 HTTP 响应且不关闭连接，后续请求会绕过 Echo 路由及路由级中间件直接转发到上游，从而绕过仅在路由上实施的认证或授权。 公告称，利用该漏洞需要同时满足三个条件：存在可访问的代理路由、上游拒绝升级但不关闭连接、该上游目标资源没有独立授权。该原始代理实现存在于 v4 和 v5 发布线，直至 v4.16.0 和 v5.4.0。 公告建议升级到 v4.16.1 或 v5.4.1。

AI 根据报道生成 · 2 小时前更新

最新进展10月24日 04:49
Echo 修复被拒绝的 WebSocket 升级绕过路由级访问控制的问题

报道时间线

沿着报道，了解事件的不同侧面。

10月24日
  1. GitHub 安全公告库 (GHSA)精选
    Echo 修复被拒绝的 WebSocket 升级绕过路由级访问控制的问题

    Echo 的 Proxy 中间件在客户端请求 WebSocket 升级时，会先建立原始隧道，再校验上游是否接受升级；若上游返回普通 HTTP 响应并保持连接，后续请求会绕过 Echo 路由与路由级中间件直接转发到上游，从而绕过仅在路由上实施的认证或授权。

本事件热度走势

还没有足够的连续观测数据，暂不绘制趋势。