CVE-2021-41773 — न्यूनतम FastAPI लैब

एक छोटा, स्व-निहित FastAPI लैब जो दर्शाता है कि फाइलसिस्टम सीमाओं को मान्य करने से पहले उपयोगकर्ता इनपुट को डीकोड करना निर्देशिका ट्रैवर्सल और स्थानीय फ़ाइल समावेशन (LFI) का कारण कैसे बन सकता है, जो Apache HTTP सर्वर की समस्या CVE-2021-41773 पर आधारित है।

विशेषताएँ

• न्यूनतम, पढ़ने में आसान FastAPI उदाहरण: एक असुरक्षित सर्वर और एक पैच किया गया सर्वर
• सिंगल-एन्कोडेड (%2e) और डबल-एन्कोडेड (%252e) बाइपास को प्रदर्शित करता है
• रूट एंडपॉइंट में curl के साथ परीक्षण के लिए त्वरित पेलोड शामिल हैं
• कोई Docker आवश्यक नहीं — uvicorn के साथ स्थानीय रूप से चलता है

रिपॉजिटरी संरचना

• patched_app.py — सुरक्षित कार्यान्वयन (कैनोनिकल पाथ जाँच का उपयोग करता है)
• vulnerable_app.py — जानबूझकर असुरक्षित कार्यान्वयन
• secret.txt — सीमा से बाहर की गुप्त फ़ाइल जिसे शोषण लक्ष्य के रूप में उपयोग किया जाता है
• webroot/test.txt — उदाहरण द्वारा परोसी गई सार्वजनिक फ़ाइल
• README.md — यह फ़ाइल

आवश्यकताएँ

• Python 3.8+
• pip

रनटाइम निर्भरताएँ स्थापित करें:

pip install fastapi uvicorn

त्वरित आरंभ

1. वर्चुअल वातावरण बनाएँ और सक्रिय करें (Windows PowerShell उदाहरण):

python -m venv venv
.\venv\Scripts\activate

2. निर्भरताएँ स्थापित करें:

pip install fastapi uvicorn

3. असुरक्षित सर्वर चलाएँ (पोर्ट 8011):

uvicorn vulnerable_app:app --port 8011

अपने ब्राउज़र में http://127.0.0.1:8011/ खोलें — रूट एंडपॉइंट सामान्य पेलोड और नोट्स दिखाता है।

फिक्स देखने के लिए, असुरक्षित सर्वर को रोकें और पैच किया गया सर्वर चलाएँ:

uvicorn patched_app:app --port 8011

उदाहरण अनुरोध (curl)

• सार्वजनिक फ़ाइल तक बेसलाइन पहुँच:

curl --path-as-is http://localhost:8011/icons/test.txt

• CVE-2021-41773 (सिंगल एन्कोडिंग) — सरल सीमा जाँचों को बायपास करता है:

curl --path-as-is "http://localhost:8011/icons/.%2e/secret.txt"

• CVE-2021-42013 (डबल एन्कोडिंग) — उन फ़िल्टरों को बायपास करता है जो बार-बार डीकोड नहीं करते:

curl --path-as-is "http://localhost:8011/icons/.%252e/secret.txt"

असुरक्षित सर्वर के विरुद्ध ये पेलोड secret.txt लौटा सकते हैं। पैच किए गए सर्वर के विरुद्ध उन्हें अस्वीकार कर दिया जाना चाहिए (HTTP 403)।

पैच कैसे काम करता है (उच्च स्तर)

1. आने वाले पथ को पूरी तरह से डीकोड करें (कई एन्कोडिंग परतों को संभालें)।
2. os.path.realpath() के साथ कैनोनिकल फाइलसिस्टम पथ का समाधान करें।
3. सुनिश्चित करें कि समाधान किया गया पथ इच्छित webroot निर्देशिका के अंदर है — अन्यथा अस्वीकार करें।

यह सही क्रम सुनिश्चित करता है: डीकोड → कैनोनिकलाइज़ → प्राधिकृत करें।

सुरक्षा और उपयोग

यह रिपॉजिटरी केवल स्थानीय, शैक्षिक उपयोग के लिए है। असुरक्षित सर्वर को सार्वजनिक नेटवर्क पर उजागर न करें।

लाइसेंस

MIT लाइसेंस

लेखक

Kunal Khandelwal — सुरक्षा शोधकर्ता, एप्लिकेशन सुरक्षा