注目★★★★★GitHub Advisory
Algernon 1.17.7 以前、Hostヘッダでディレクトリ外ファイルが読まれる脆弱性
30秒で把握
- 1Algernon 1.17.7 以前に Hostヘッダ経由のパストラバーサル脆弱性が判明
- 2--domain / --letsencrypt モード利用時に親ディレクトリへのファイル読み取りや Lua 実行が可能
- 3該当バージョンを運用中のチームはバージョン確認と更新を実施
要約
Webサーバ「Algernon」1.17.7 以前に、Hostヘッダを用いたパストラバーサル脆弱性が確認された。`--domain` または `--letsencrypt` モードで起動した場合、クライアントが送信した `Host:..` ヘッダを `filepath.Join` で検証なしにディレクトリ結合するため、ドキュメントルートの親ディレクトリへのアクセスが可能になる。結果として、任意ファイルの読み取り・ディレクトリ一覧の取得、さらに `.lua` ファイルが存在すればサーバサイドでのLua実行が起こり得る。
あなたへの影響
`--domain` や `--letsencrypt` オプションを使用してAlgernonを運用している場合は。
推奨：バージョンを確認し修正版へ更新するか、リバースプロキシ側でHostヘッダの正規化・検証を行うとよい。