CVE-2021-41773 — Laboratório FastAPI Mínimo

Um laboratório FastAPI pequeno e autossuficiente que demonstra como a decodificação da entrada do usuário antes de validar os limites do sistema de arquivos pode levar a travessia de diretório e inclusão local de arquivos (LFI), modelado a partir dos problemas do Apache HTTP Server CVE-2021-41773.

---

Recursos

• Exemplos FastAPI mínimos e fáceis de ler: um servidor vulnerável e um servidor corrigido
• Demonstra bypasses com codificação simples (%2e) e dupla (%252e)
• O endpoint raiz inclui payloads rápidos para teste com curl
• Não requer Docker — executa localmente com uvicorn

---

Estrutura do Repositório

• patched_app.py — implementação segura (usa verificações de caminho canônico)
• vulnerable_app.py — implementação intencionalmente vulnerável
• secret.txt — arquivo secreto fora dos limites usado como alvo do exploit
• webroot/test.txt — arquivo público servido pelo exemplo
• README.md — este arquivo

---

Requisitos

• Python 3.8+
• pip

Instale as dependências de execução:

pip install fastapi uvicorn

---

Início Rápido

1. Crie e ative um ambiente virtual (exemplo no Windows PowerShell):

python -m venv venv
.\venv\Scripts\activate

2. Instale as dependências:

pip install fastapi uvicorn

3. Execute o servidor vulnerável (porta 8011):

uvicorn vulnerable_app:app --port 8011

Abra http://127.0.0.1:8011/ no seu navegador — o endpoint raiz mostra payloads comuns e notas.

Para observar a correção, pare o servidor vulnerável e execute o servidor corrigido:

uvicorn patched_app:app --port 8011

---

Exemplos de Requisições (curl)

• Acesso básico a um arquivo público:

curl --path-as-is http://localhost:8011/icons/test.txt

• CVE-2021-41773 (codificação simples) — bypassa verificações ingênuas de limites:

curl --path-as-is "http://localhost:8011/icons/.%2e/secret.txt"

• CVE-2021-42013 (codificação dupla) — bypassa filtros que não decodificam repetidamente:

curl --path-as-is "http://localhost:8011/icons/.%252e/secret.txt"

Contra o servidor vulnerável, esses payloads podem retornar secret.txt. Contra o servidor corrigido, eles devem ser rejeitados (HTTP 403).

---

Como a Correção Funciona (visão geral)

1. Decodifique completamente o caminho recebido (lida com múltiplas camadas de codificação).
2. Resolva o caminho canônico do sistema de arquivos com os.path.realpath().
3. Garanta que o caminho resolvido esteja dentro do diretório webroot pretendido — negue caso contrário.

Isso impõe a ordem correta: decodificar → canonicalizar → autorizar.

---

Segurança e Uso

Este repositório é apenas para uso educacional local. Não exponha o servidor vulnerável a redes públicas.

---

Licença

Licença MIT

---

Autor

Kunal Khandelwal — Pesquisador de Segurança, Segurança de Aplicações