„`html
Zusammenfassung
CVE-2026-45728 beschreibt eine Informationspreisgabe-Schwachstelle in Algernon, einem kompakten Go-basierten Webserver. Versionen vor 1.17.7 geben bei aktiviertem Single-File-Modus automatisch Debug-Informationen preis. Diese beinhalten absolute Dateipfade, vollständige Dateiinhalte und Fehlerdetails als HTTP 200-Response. Die Schwachstelle ermöglicht unbefugtem Zugriff auf Quellcode-Dateien.
Betroffene Systeme
Betroffen sind Algernon-Installationen in Versionen vor 1.17.7, speziell wenn der Server mit einem einzelnen Dateipfad statt eines Verzeichnisses konfiguriert wird. Der singleFileMode-Parameter wird in dieser Konfiguration aktiviert und erzwingt gleichzeitig die Debug-Funktionalität.
Technische Details
Die Vulnerabilität entsteht durch die automatische Aktivierung des debugMode, wenn Algernon mit Parameter für eine einzelne Datei gestartet wird. Der PrettyError-Renderer wird dann bei Laufzeitfehlern in Lua-Scripts oder Template-Verarbeitung aktiviert.
Bei auftretenden Fehlern werden folgende sensiblen Informationen offengelegt:
- Absolute Dateipfade des fehlerhaften Scripts
- Vollständiger Byte-für-Byte Inhalt des Quellcodes
- Lua-Fehler und Template-Parser-Exceptions
- Abhängige Dateiinhalte (Lua-Datendateien)
Die Antwort wird mit HTTP-Statuscode 200 OK zurückgesendet. Ein Angreifer benötigt nur Netzwerkzugriff auf den Server und muss einen Runtime-Error provozieren, um Quellcode auszulesen.
Empfohlene Massnahmen
Sofort: Upgrade auf Algernon 1.17.7 oder höher durchführen. Dies behebt die automatische Aktivierung von debugMode im Single-File-Modus.
Während Update: Debug-Modus manuell deaktivieren. Algernon nicht mit Single-File-Parametern in Produktionsumgebungen betreiben. Anfragen zum Server durch Firewall-Regeln beschränken.
Nachgelagert: Quellcode-Repositories überprüfen, falls Zugriff stattfand. Log-Dateien auf verdächtige Anfragen analysieren, die Runtime-Fehler ausgelöst haben.
Bewertung
CVSS 7.5 (High): Diese Einstufung ist gerechtfertigt durch das Netzwerk-Angriffsvektor und die fehlende Authentifizierung. Die Informationspreisgabe ermöglicht weitere Attacken, stellt aber keine direkte Code-Ausführung dar. Systeme mit eingeschränktem Netzwerkzugang haben reduzierten Risiko-Status.
„`