CVE-2021-41773 — 最小限の FastAPI ラボ

ファイルシステム境界を検証する前にユーザー入力をデコードすると、ディレクトリトラバーサルやローカルファイルインクルージョン（LFI）につながることを示す、自己完結型の小さな FastAPI ラボです。Apache HTTP Server の脆弱性 CVE-2021-41773 をモデルにしています。

特徴

• 最小限で読みやすい FastAPI の例: 脆弱なサーバーとパッチ済みサーバー
• シングルエンコード（%2e）およびダブルエンコード（%252e）によるバイパスを実演します
• ルートエンドポイントには、curl でテストするための手軽なペイロードが含まれています
• Docker は不要 — uvicorn でローカル実行できます

リポジトリ構成

• patched_app.py — セキュリティ修正済みの実装（正規パスチェックを使用）
• vulnerable_app.py — 意図的に脆弱性を含む実装
• secret.txt — 攻撃対象として使用される境界外のシークレットファイル
• webroot/test.txt — この例で提供される公開ファイル
• README.md — 本ファイル

要件

• Python 3.8+
• pip

ランタイムの依存関係をインストール:

pip install fastapi uvicorn

クイックスタート

1. 仮想環境を作成して有効化します（Windows PowerShell の例）:

python -m venv venv
.\venv\Scripts\activate

2. 依存関係をインストール:

pip install fastapi uvicorn

3. 脆弱なサーバーを起動します（ポート 8011）:

uvicorn vulnerable_app:app --port 8011

ブラウザで http://127.0.0.1:8011/ を開いてください — ルートエンドポイントには一般的なペイロードと注記が表示されます。

修正を確認するには、脆弱なサーバーを停止してパッチ済みサーバーを起動します:

uvicorn patched_app:app --port 8011

リクエスト例（curl）

• 公開ファイルへの基本アクセス:

curl --path-as-is http://localhost:8011/icons/test.txt

• CVE-2021-41773（シングルエンコード）— 単純な境界チェックをバイパス:

curl --path-as-is "http://localhost:8011/icons/.%2e/secret.txt"

• CVE-2021-42013（ダブルエンコード）— 繰り返しデコードしないフィルターをバイパス:

curl --path-as-is "http://localhost:8011/icons/.%252e/secret.txt"

脆弱なサーバーに対しては、これらのペイロードが secret.txt を返す可能性があります。パッチ済みサーバーに対しては、拒否されるはずです（HTTP 403）。

パッチの仕組み（概要）

1. 受信パスを完全にデコードします（複数のエンコード層を処理）。
2. os.path.realpath() を使用して正規のファイルシステムパスを解決します。
3. 解決されたパスが意図した webroot ディレクトリ内にあることを強制し、そうでなければ拒否します。

これにより、デコード → 正規化 → 認可という正しい順序が強制されます。

安全性と使用

このリポジトリはローカルでの教育用途に限ります。脆弱なサーバーを公開ネットワークに公開しないでください。

ライセンス

MIT License

著者

Kunal Khandelwal — セキュリティ研究者、アプリケーションセキュリティ