PT-2026-53923 · Ocelot · Ocelot

George Chen · Publicado 2026-06-30 · Atualizado 2026-06-30 · CVE-2026-58172

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Ocelot versões anteriores a 24.1.1

Descrição Existe uma falha de bypass de controle de segurança no processamento de solicitações de upgrade de WebSocket. O problema decorre de uma falha de lógica no ramo MapWhen dentro de OcelotPipelineExtensions.cs, que omite o SecurityMiddleware. Essa omissão permite que clientes de endereços IP bloqueados contornem as restrições de acesso baseadas em IP configuradas. Ao enviar uma solicitação de upgrade de WebSocket, um invasor pode garantir que seu tráfego seja roteado pelo ramo do pipeline que ignora as verificações de restrição de IP, permitindo o proxy não autorizado para serviços downstream.

Recomendações Atualize o Ocelot para a versão que contém o commit f156fd4.

Exploit

Correção

Authentication Bypass Using an Alternate Path or Channel

Enumeração de Fraquezas

CWE-288

Identificadores relacionados

CVE-2026-58172

Produtos afetados

Ocelot

Referências · 6

• 🔥 https://github.com/ThreeMammals/Ocelot/issues/2403 · Exploit
• https://github.com/ThreeMammals/Ocelot/pull/2406 · Nota
• https://github.com/ThreeMammals/Ocelot/commit/f156fd4017ca25025fffdad8ec56c1d657dfb402 · Correção
• https://vulncheck.com/advisories/ocelot-ip-allow-block-list-bypass-for-websocket-upgrade-requests · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-58172 · Nota de Segurança
• https://twitter.com/UpwindMDR/status/2072017681507569806 · Publicação no Twitter