Cross-Site Request Forgery (CSRF, CWE-352): cómo funciona y cómo evitarlo

Conceptos Clave y Términos

Credenciales ambientales

Los navegadores adjuntan cookies y autenticación HTTP a las peticiones hacia un sitio sin importar qué página las inició. Una petición de evil.example a app.example sigue llevando la cookie de sesión de app.example salvo que el atributo SameSite de la cookie lo impida.

Atributo SameSite de la cookie

Strict retiene la cookie en toda petición entre sitios, Lax solo la envía en navegaciones GET de nivel superior y None la envía siempre (y exige Secure). Chromium trata las cookies sin el atributo como Lax; Firefox y Safari no, y 'mismo sitio' incluye también los subdominios hermanos.

Token sincronizador

Un valor aleatorio ligado a la sesión que el servidor pone en cada formulario o página y exige en cada petición insegura. Otro sitio no puede leerlo, así que no puede falsificar una petición válida. CSRFProtect de Flask-WTF lo emite con csrf_token() y comprueba el campo csrf_token o la cabecera X-CSRFToken.

Fetch Metadata (Sec-Fetch-Site)

Los navegadores modernos envían Sec-Fetch-Site: cross-site, same-site, same-origin o none en cada petición, y las páginas no pueden falsificarlo. Rechazar los métodos inseguros que no sean same-origin bloquea el CSRF con una sola comprobación en el servidor.

Cambio de estado en GET

Una ruta que cambia datos con GET puede dispararse con una etiqueta <img> o un enlace, y SameSite=Lax sigue enviando la cookie en las navegaciones GET de nivel superior. Leer request.values acepta la query string además del cuerpo del formulario.

Flujo de Ataque Paso a Paso

Código Fuente: Vulnerable vs. Seguro

# app.py: la cookie de sesión es la única prueba de que el usuario lo quiso
import os

from flask import Flask, abort, request, session

from .db import db

app = Flask(__name__)
app.config.update(
    SECRET_KEY=os.environ["FLASK_SECRET_KEY"],
    SESSION_COOKIE_SECURE=True,
    SESSION_COOKIE_SAMESITE="None",
)


# GET también funciona, y request.values lee además la query string
@app.route("/account/email", methods=["GET", "POST"])
def change_email():
    user_id = session.get("user_id")
    if user_id is None:
        abort(401)
    db.execute("UPDATE users SET email = ? WHERE id = ?", (request.values["email"], user_id))
    return {"status": "ok"}

# app.py: token, cookie SameSite y Fetch Metadata juntos
import os

from flask import Flask, abort, request, session
from flask_wtf.csrf import CSRFProtect

from .db import db

app = Flask(__name__)
app.config.update(
    SECRET_KEY=os.environ["FLASK_SECRET_KEY"],
    SESSION_COOKIE_SECURE=True,
    SESSION_COOKIE_HTTPONLY=True,
    SESSION_COOKIE_SAMESITE="Lax",
)
# cada POST necesita csrf_token; los formularios muestran {{ csrf_token() }}, fetch() envía X-CSRFToken
csrf = CSRFProtect(app)


# las escrituras iniciadas por otro sitio se rechazan antes de ejecutar la ruta
@app.before_request
def reject_cross_site_writes():
    if request.method not in ("GET", "HEAD", "OPTIONS"):
        if request.headers.get("Sec-Fetch-Site", "same-origin") not in ("same-origin", "none"):
            abort(403)


# solo POST, datos del cuerpo del formulario
@app.post("/account/email")
def change_email():
    user_id = session.get("user_id")
    if user_id is None:
        abort(401)
    db.execute("UPDATE users SET email = ? WHERE id = ?", (request.form["email"], user_id))
    return {"status": "ok"}

Lista de Verificación de Seguridad para Ingeniería

• Cambia el estado solo con POST, PUT, PATCH o DELETE y lee los datos del formulario del cuerpo (request.form), nunca de request.values ni de la query string.
• Activa el middleware de CSRF del framework para toda la app (CSRFProtect, CsrfViewMiddleware de Django, csrf() de Spring Security) e incluye el token en cada formulario y petición AJAX.
• Configura las cookies de sesión como Secure, HttpOnly y SameSite=Lax o Strict; usa SameSite=None solo en cookies que deban funcionar dentro de iframes de otros sitios.
• Rechaza las peticiones inseguras cuya cabecera Sec-Fetch-Site sea cross-site o same-site.
• Añade una prueba en CI que envíe a cada ruta que cambia estado una petición sin el token y espere 400 o 403.

Fuentes

• CWE-352: Cross-Site Request Forgery (CSRF)
• OWASP Cross-Site Request Forgery Prevention Cheat Sheet
• Flask-WTF — CSRF Protection
• MDN — Sec-Fetch-Site
• MDN — Set-Cookie: SameSite