CVE-2026-45721: Servidor Web Algernon: Busca Ascendente de handler.lua Leva a Execução Remota de Código
Versões do Algernon anteriores à 1.17.7 pesquisam diretórios pais, além da raiz configurada do servidor, em busca de um arquivo handler.lua quando um diretório sem índice é requisitado. O primeiro arquivo encontrado é carregado no interpretador Lua com toda a API do Algernon, e o registro descreve o problema como alcançável sem autenticação. O registro indica correção na versão 1.17.7, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O Algernon é um pequeno servidor web autocontido, escrito em Go puro. De acordo com o registro do aviso, versões anteriores à 1.17.7 resolvem um arquivo handler.lua subindo a partir de um diretório sem arquivo de índice, ultrapassando a raiz configurada do servidor. O registro atribui esse comportamento à rotina DirPage.
Impacto
O registro descreve o resultado como execução remota de código pré-autenticada. O pré-requisito informado é que um processo consiga gravar um arquivo handler.lua em um diretório pai da raiz do servidor. Segundo o registro, o ambiente Lua que executa o arquivo expõe a API completa do Algernon, incluindo funções de execução de processos, cliente de rede, banco de dados e sistema de arquivos.
Produtos e versões afetados
- Versões do Algernon anteriores à 1.17.7, conforme o registro.
- A lista estruturada de produtos afetados do registro está vazia, portanto intervalos de versões além da expressão anteriores à 1.17.7 não são confirmados por dados estruturados.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. O valor EPSS no registro é 0,00744, com percentil de 0,53528.
Correção e mitigação
- Atualize o Algernon para a versão 1.17.7 ou posterior, identificada no registro como a versão corrigida.
- Até a atualização, restrinja quem pode criar ou modificar arquivos em qualquer diretório pai da raiz do servidor e remova arquivos handler.lua inesperados encontrados ali.
- Execute o servidor com uma conta dedicada de baixo privilégio e limite seu alcance de sistema de arquivos e de rede, para reduzir o impacto de um eventual comprometimento.
- Consulte o aviso oficial em GitHub Security Advisory GHSA-xwcr-wm99-g9jc para as orientações atuais do mantenedor.
Orientações de detecção
- Inventarie todas as instâncias do Algernon e registre suas versões para identificar as anteriores à 1.17.7.
- Monitore diretórios pais das raízes de servidores quanto à criação ou modificação de arquivos chamados handler.lua, por exemplo com monitoramento de integridade de arquivos.
- Revise os logs do servidor web em busca de requisições para caminhos de diretório sem arquivo de índice e correlacione com alterações inesperadas de arquivos no host.
- Observe processos filhos inesperados ou conexões de saída originadas do processo do Algernon.
Limitações das informações disponíveis
O registro não inclui intervalos estruturados de versões afetadas, entradas de versões corrigidas, dados SSVC ou detalhes do KEV além do valor falso. O registro indica severidade crítica e pontuação base CVSS 3.1 de 9, fornecida pelo provedor GitHub Security Advisories. A data de publicação é 2026-05-26 e o campo de data do EPSS indica 2026-10-13, o que deve ser verificado na fonte. Detalhes sobre como a vulnerabilidade foi descoberta ou validada são desconhecidos.
Perguntas frequentes
Quais versões do Algernon são afetadas pela CVE-2026-45721?
O registro indica que versões anteriores à 1.17.7 são afetadas. A lista estruturada de produtos afetados está vazia, portanto nomes de pacotes além dessa afirmação não são confirmados.
Existe correção disponível?
Sim. O registro indica que a vulnerabilidade está corrigida na versão 1.17.7. A atualização para essa versão ou posterior é a correção recomendada.
Esta CVE é conhecida por ser explorada na natureza?
O registro mostra que a CVE não está listada no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.