CVE-2021-41773 – Minimales FastAPI-Labor

Ein kleines, in sich geschlossenes FastAPI-Labor, das zeigt, wie das Dekodieren von Benutzereingaben vor der Validierung von Dateisystemgrenzen zu Directory Traversal und Local File Inclusion (LFI) führen kann – angelehnt an die Apache-HTTP-Server-Probleme CVE-2021-41773.

Funktionen

• Minimale, leicht lesbare FastAPI-Beispiele: ein verwundbarer und ein gepatchter Server
• Demonstriert einfach codierte (%2e) und doppelt codierte (%252e) Umgehungen
• Der Root-Endpoint enthält schnelle Payloads zum Testen mit curl
• Kein Docker erforderlich – läuft lokal mit uvicorn

Repository-Struktur

• patched_app.py – abgesicherte Implementierung (verwendet kanonische Pfadprüfungen)
• vulnerable_app.py – absichtlich verwundbare Implementierung
• secret.txt – geheime Datei außerhalb des Zugriffsbereichs, die als Exploit-Ziel dient
• webroot/test.txt – öffentliche Datei, die vom Beispiel bereitgestellt wird
• README.md – diese Datei

Voraussetzungen

• Python 3.8+
• pip

Laufzeitabhängigkeiten installieren:

pip install fastapi uvicorn

Schnellstart

1. Virtuelle Umgebung erstellen und aktivieren (Windows-PowerShell-Beispiel):

python -m venv venv
.\venv\Scripts\activate

2. Abhängigkeiten installieren:

pip install fastapi uvicorn

3. Verwundbaren Server ausführen (Port 8011):

uvicorn vulnerable_app:app --port 8011

Öffnen Sie http://127.0.0.1:8011/ in Ihrem Browser – der Root-Endpoint zeigt gängige Payloads und Hinweise.

Um den Fix zu beobachten, stoppen Sie den verwundbaren Server und führen Sie den gepatchten Server aus:

uvicorn patched_app:app --port 8011

Beispielanfragen (curl)

• Basiszugriff auf eine öffentliche Datei:

curl --path-as-is http://localhost:8011/icons/test.txt

• CVE-2021-41773 (einfache Kodierung) – umgeht naive Grenzprüfungen:

curl --path-as-is "http://localhost:8011/icons/.%2e/secret.txt"

• CVE-2021-42013 (doppelte Kodierung) – umgeht Filter, die nicht wiederholt dekodieren:

curl --path-as-is "http://localhost:8011/icons/.%252e/secret.txt"

Beim verwundbaren Server können diese Payloads secret.txt zurückgeben. Beim gepatchten Server sollten sie abgelehnt werden (HTTP 403).

Wie der Patch funktioniert (auf hoher Ebene)

1. Den eingehenden Pfad vollständig dekodieren (mehrere Kodierungsebenen verarbeiten).
2. Den kanonischen Dateisystempfad mit os.path.realpath() auflösen.
3. Sicherstellen, dass der aufgelöste Pfad innerhalb des vorgesehenen webroot-Verzeichnisses liegt – andernfalls verweigern.

Dies erzwingt die korrekte Reihenfolge: Dekodieren → Kanonisieren → Autorisieren.

Sicherheit & Verwendung

Dieses Repository dient ausschließlich der lokalen, lehrreichen Nutzung. Setzen Sie den verwundbaren Server keinen öffentlichen Netzwerken aus.

Lizenz

MIT-Lizenz

Autor

Kunal Khandelwal – Security Researcher, Application Security