CVE-2021-41773 — Laboratorio FastAPI minimale

Un piccolo laboratorio FastAPI autonomo che dimostra come la decodifica dell'input utente prima della validazione dei confini del filesystem possa portare a directory traversal e local file inclusion (LFI), ispirato ai problemi del server Apache HTTP CVE-2021-41773.

Caratteristiche

• Esempi FastAPI minimi e facili da leggere: un server vulnerabile e un server patchato
• Dimostra i bypass a codifica singola (%2e) e doppia (%252e)
• L'endpoint root include payload rapidi per il test con curl
• Nessun Docker richiesto — viene eseguito localmente con uvicorn

Struttura del Repository

• patched_app.py — implementazione protetta (usa controlli del percorso canonico)
• vulnerable_app.py — implementazione intenzionalmente vulnerabile
• secret.txt — file segreto fuori limite usato come bersaglio per l'exploit
• webroot/test.txt — file pubblico servito dall'esempio
• README.md — questo file

Requisiti

• Python 3.8+
• pip

Installa le dipendenze runtime:

pip install fastapi uvicorn

Avvio rapido

1. Crea e attiva un ambiente virtuale (esempio con Windows PowerShell):

python -m venv venv
.\venv\Scripts\activate

2. Installa le dipendenze:

pip install fastapi uvicorn

3. Esegui il server vulnerabile (porta 8011):

uvicorn vulnerable_app:app --port 8011

Apri http://127.0.0.1:8011/ nel browser — l'endpoint root mostra i payload comuni e le note.

Per osservare la correzione, ferma il server vulnerabile ed esegui il server patchato:

uvicorn patched_app:app --port 8011

Esempi di richieste (curl)

• Accesso di base a un file pubblico:

curl --path-as-is http://localhost:8011/icons/test.txt

• CVE-2021-41773 (codifica singola) — bypassa i controlli di confine ingenui:

curl --path-as-is "http://localhost:8011/icons/.%2e/secret.txt"

• CVE-2021-42013 (doppia codifica) — bypassa i filtri che non decodificano ripetutamente:

curl --path-as-is "http://localhost:8011/icons/.%252e/secret.txt"

Contro il server vulnerabile questi payload possono restituire secret.txt. Contro il server patchato dovrebbero essere rifiutati (HTTP 403).

Come funziona la patch (in sintesi)

1. Decodifica completamente il percorso in ingresso (gestisce più livelli di codifica).
2. Risolve il percorso canonico del filesystem con os.path.realpath().
3. Impone che il percorso risolto sia all'interno della directory webroot prevista — altrimenti nega.

Questo impone l'ordine corretto: decodifica → canonicalizzazione → autorizzazione.

Sicurezza e Utilizzo

Questo repository è solo per uso locale ed educativo. Non esporre il server vulnerabile su reti pubbliche.

Licenza

Licenza MIT

Autore

Kunal Khandelwal — Ricercatore di Sicurezza, Application Security