CVE-2026-8023

Resumo

O servidor HTTP do Zephyr (`subsys/net/lib/http`) fornece um tipo de recurso de sistema de arquivos estático (`HTTP_RESOURCE_TYPE_STATIC_FS`, disponível quando `CONFIG_FILE_SYSTEM` está habilitado) que serve arquivos a partir de um diretório raiz configurado. Antes desta correção, tanto os front-ends HTTP/1 quanto HTTP/2 colocavam o caminho de requisição bruto, controlado pelo atacante, em `client->url_buffer` (montado em `on_url()` para HTTP/1 e copiado literalmente do pseudo-cabeçalho `:path` para HTTP/2) sem resolver segmentos `./..`. O manipulador de FS estático então construía o nome de arquivo no disco concatenando diretamente a raiz configurada com essa URL bruta (`snprintk(fname, ..., "%s%s", static_fs_detail->fs_path, client->url_buffer)` em `http_server_http1.c:603` e `http_server_http2.c:490`) e o abria com `fs_open(fname, FS_O_READ)`. Como o manipulador é alcançado por meio de correspondência de curinga/diretório líder (`fnmatch FNM_LEADING_DIR`) ou de recurso de fallback, uma requisição como `GET /<prefix>/../../<file>` é despachada para o manipulador e, após o sistema de arquivos subjacente (ex.: LittleFS/FAT) resolver os segmentos `..`, escapa da raiz web configurada, permitindo que um cliente remoto não autenticado leia arquivos legíveis arbitrários no volume montado (divulgação de informações). O servidor HTTP não exige TLS ou autenticação para alcançar esse caminho. A correção adiciona `http_server_remove_dot_segments()`, que canonicaliza a parte do caminho da URL antes da busca de recursos em ambos os manipuladores de protocolo, neutralizando o traversal. Afeta as versões v4.0.0 até v4.4.0 para implantações que registram um recurso de sistema de arquivos estático.

• CVE-2026-8023PoC

  PoC para CVE-2026-8023: Limitação inadequada de um nome de caminho para um diretório restrito ('Path Traversal')