🇰🇷 한글 설명
Echo 웹 프레임워크의 Proxy 미들웨어는 Echo.IPExtractor가 설정되지 않은 경우 공격자가 보낸 X-Real-IP 헤더를 그대로 유지하여 업스트림 서비스로 전달할 수 있습니다. 이로 인해 업스트림 서비스는 조작된 클라이언트 IP를 수신하게 되며, 이는 IP 기반 접근 제어, 속도 제한, 감사 로그, 지역 제한 등의 보안 기능을 우회할 수 있습니다. 해당 문제는 Echo 5.4.0에서 수정되었습니다.
💡 쉬운 설명
Echo라는 웹 서버 도구에서 사용자의 실제 IP 주소를 위조해 뒤쪽 서버에 전달할 수 있는 문제입니다. 그 결과 IP로 접근을 막거나 기록하는 보안 장치가 제대로 작동하지 않을 수 있습니다.
🇺🇸 원문 (English)
Echo is a Go web framework. From 4.0.0 until 5.4.0, the Proxy middleware can preserve an attacker-supplied X-Real-IP header and forward it to an upstream service when Echo.IPExtractor is not configured. A remote client can therefore make upstream services receive a spoofed client address, undermining IP-based access controls, rate limiting, audit logging, or geographic restrictions that trust Echo's forwarded identity. This issue is fixed in Echo 5.4.0.
📍 영향받는 시스템
Go 웹 프레임워크 Echo 4.0.0 이상 5.4.0 미만을 사용하며 Proxy 미들웨어와 Echo.IPExtractor 미설정 환경
⚔️ 공격 벡터
원격 공격자가 X-Real-IP 헤더에 임의의 IP 주소를 넣어 요청을 보내면, 프록시가 이를 그대로 업스트림 서비스에 전달
🛡️ 대응 방법
Echo를 5.4.0 이상으로 업그레이드하고 Echo.IPExtractor를 적절히 설정하여 신뢰할 수 있는 프록시에서 온 헤더만 사용하도록 구성
🔧 검증 코드
출력 결과가 존재하면 취약한 5.4.0 미만 버전이 사용 중이므로 업그레이드가 필요하며, 출력이 없으면 해당 버전 범위에는 해당하지 않습니다 (4.x 버전은 별도로 확인 필요).
go list -m github.com/labstack/echo/v5 2>/dev/null | grep -E 'echo/v5 v5\.[0-4]\.|echo/v5 v5\.[0-3]'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access