CVE-2026-8023

Résumé

Le serveur HTTP de Zephyr (`subsys/net/lib/http`) fournit un type de ressource de système de fichiers statique (`HTTP_RESOURCE_TYPE_STATIC_FS`, disponible lorsque `CONFIG_FILE_SYSTEM` est activé) qui sert des fichiers depuis un répertoire racine configuré. Avant ce correctif, les deux front-ends HTTP/1 et HTTP/2 plaçaient le chemin de requête brut, contrôlé par l'attaquant, dans `client->url_buffer` (assemblé dans `on_url()` pour HTTP/1 et copié tel quel depuis le pseudo-en-tête `:path` pour HTTP/2) sans résoudre les segments `./..`. Le gestionnaire de FS statique construisait ensuite le nom de fichier sur disque en concaténant directement la racine configurée avec cette URL brute (`snprintk(fname, ..., "%s%s", static_fs_detail->fs_path, client->url_buffer)` dans `http_server_http1.c:603` et `http_server_http2.c:490`) et l'ouvrait avec `fs_open(fname, FS_O_READ)`. Étant donné que le gestionnaire est atteint via un caractère générique/répertoire de tête (`fnmatch FNM_LEADING_DIR`) ou une correspondance de ressource de secours, une requête telle que `GET /<prefix>/../../<file>` est transmise au gestionnaire et, après que le système de fichiers sous-jacent (par exemple LittleFS/FAT) résout les segments `..`, s'échappe de la racine web configurée, permettant à un client distant non authentifié de lire des fichiers arbitraires lisibles sur le volume monté (divulgation d'informations). Le serveur HTTP ne nécessite ni TLS ni authentification pour atteindre ce chemin. Le correctif ajoute `http_server_remove_dot_segments()`, qui canonicalise la partie chemin de l'URL avant la recherche de ressource dans les deux gestionnaires de protocole, neutralisant ainsi la traversée. Affecte les versions v4.0.0 à v4.4.0 pour les déploiements qui enregistrent une ressource de système de fichiers statique.

• CVE-2026-8023PoC

  PoC pour CVE-2026-8023 : Limitation incorrecte d'un nom de chemin vers un répertoire restreint (« Path Traversal »)