Vulnerabilidades do Xyproto Algernon

Algernon é um pequeno servidor web autocontido, escrito em Go puro. Antes da versão 1.17.7, quando o Algernon recebe uma requisição para qualquer caminho de URL que resolva para um diretório sem arquivo de índice, DirPage percorre diretórios ancestrais — além da raiz configurada do servidor — procurando um arquivo chamado handler.lua para executar como manipulador da requisição. O laço termina somente após 100 passos ancestrais ou quando filepath.Dir retorna ., portanto, em qualquer caminho absoluto de raiz do servidor, a busca alcança a raiz do sistema de arquivos (/ em Unix, letra de unidade no Windows). O primeiro handler.lua encontrado é carregado no interpretador Lua com toda a API do Algernon exposta — incluindo run3(), httpclient, os.execute, io.popen, PQ, MSSQL, acesso bruto ao sistema de arquivos e o banco de dados userstate. Qualquer processo que possa gravar handler.lua em qualquer diretório pai da raiz do servidor obtém execução remota de código pré-autenticada na próxima requisição HTTP. Isso é alcançável sem autenticação — a busca ocorre antes que a verificação de permissão retorne um resultado (o sistema de permissões só controla prefixos de URL, não a etapa de resolução do manipulador), e qualquer URL apontando para um diretório sem índice dispara a busca. Em uma instalação padrão nova do Algernon, a requisição GET / é suficiente. Esta vulnerabilidade está corrigida na versão 1.17.7.