CVE-2026-58172: IP-blokering omgås i Ocelot API-gateway

CVE-2026-58172 er en fejl i Ocelot, et open source API-gateway-bibliotek til .NET, som mange virksomheder bruger til at styre trafik ind til deres bagvedliggende systemer, kaldet microservices. Ocelot kan konfigureres til kun at tillade adgang fra bestemte IP-adresser via en sikkerhedskomponent, SecurityMiddleware. Fejlen betyder, at anmodninger om at opgradere en forbindelse til WebSocket, en protokol til vedvarende to-vejs-kommunikation, sendes gennem en separat behandlingsgren i koden, som slet ikke tjekker IP-adressen. En klient, der ellers er blokeret, kan derfor stadig nå bagvedliggende systemer, hvis den beder om en WebSocket-forbindelse.

Sårbarheden rammer virksomheder og organisationer, der bruger Ocelot som API-gateway i deres .NET-baserede systemer, og som bruger IP-baserede allow- eller blokeringslister til at afgrænse, hvem der må tilgå bagvedliggende tjenester. Alle versioner af Ocelot til og med 24.1.0 er ramt. Fejlen er rettet i commit f156fd4, og virksomheder bør tjekke, om deres installerede version indeholder denne rettelse.

En klient, som en virksomhed har forsøgt at spærre, for eksempel en tidligere samarbejdspartner, en kendt angriber eller et geografisk område uden for Danmark, kan alligevel få adgang ved at sende en WebSocket-forbindelse i stedet for en normal HTTP-anmodning. Adgangskontrollen springes helt over for den type trafik. Konsekvensen er, at fortrolige data kan læses, og at data kan ændres i de bagvedliggende systemer, uden at den blokerede IP-adresse stopper det. Sårbarheden fører ikke i sig selv til nedbrud af systemerne.

CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, ingen handling fra en bruger og kan udføres over internettet med lav teknisk kompleksitet. Det er ikke en klassisk adgangskodetyveri, men en genvej uden om selve sikkerhedskontrollen: angriberen vælger bare en anden protokol, WebSocket, som slipper forbi kontrollen. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes ved offentliggørelsen, men rettelsen og den tekniske beskrivelse er offentligt tilgængelig, hvilket gør det nemt at genskabe angrebet.

Følgende punkter bør gennemgås i prioriteret rækkefølge:

1. Opdatér Ocelot til en version, der indeholder rettelsen fra commit f156fd4, eller anvend rettelsen manuelt, hvis I kører en tilpasset build.
2. Undersøg, om jeres opsætning eksponerer WebSocket-endpoints, og deaktivér dem midlertidigt, hvis opdatering ikke kan ske med det samme.
3. Gennemgå logfiler for anmodninger om WebSocket-opgradering fra IP-adresser, der står på jeres blokeringsliste.
4. Tilføj et ekstra lag af netværksadgangskontrol uden om Ocelot, for eksempel i en firewall eller en reverse proxy, så I ikke kun stoler på Ocelots egen IP-filtrering.
5. Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke har ressourcer til selv at verificere, om jeres opsætning er sårbar, eller hvis I finder tegn på misbrug i logfilerne.