Mauvaise configuration CORS (CWE-942) : comment le reflet de l'Origin divulgue des données et comment corriger

Concepts Clés et Termes

Politique de même origine

Les navigateurs ne laissent un script lire que les réponses de sa propre origine (schéma, hôte et port). Les en-têtes de réponse CORS sont le moyen pour un serveur d'assouplir volontairement cette règle pour des origines nommées.

Access-Control-Allow-Origin avec identifiants

Si la réponse nomme l'origine de l'appelant dans Access-Control-Allow-Origin et envoie Access-Control-Allow-Credentials: true, un script de cette origine peut lire les réponses à des requêtes qui portaient les cookies de l'utilisateur. Les navigateurs refusent * avec des identifiants, c'est pourquoi les serveurs mal configurés renvoient l'origine en écho.

Reflet de l'Origin et contrôle de suffixe

Recopier l'en-tête Origin dans la réponse fait confiance à tous les sites. Des contrôles comme endsWith('example.com'), des recherches de sous-chaîne ou des expressions régulières sans ancres avec des points non échappés acceptent aussi https://attacker-example.com.

L'origine null

Les iframes en sandbox, les URL data: et certaines redirections envoient Origin: null. N'importe quel attaquant peut la produire, donc autoriser null revient à autoriser tout le monde.

Vary: Origin

Quand Access-Control-Allow-Origin dépend de la requête, la réponse doit porter Vary: Origin pour que les caches partagés ne servent pas les en-têtes CORS d'une origine à une autre. Le paquet cors l'ajoute pour les origines dynamiques.

Déroulement de l'Attaque Étape par Étape

Code Source : Vulnérable vs Sécurisé

// server.js : toute origine finissant par example.com, plus null, peut lire avec les cookies
import express from 'express';
import cors from 'cors';
import { accountFor, requireSession } from './account.js';

const app = express();

// true fait renvoyer par cors l'Origin de l'appelant avec les identifiants
app.use(cors({
  origin: (origin, callback) => callback(null, !origin || origin === 'null' || origin.endsWith('example.com')),
  credentials: true,
}));

// données privées du compte lisibles par les origines approuvées
app.get('/api/account', requireSession, (req, res) => {
  res.json(accountFor(req.session.userId));
});

// server.js : deux origines exactes, rien d'autre
import express from 'express';
import cors from 'cors';
import { accountFor, requireSession } from './account.js';

const app = express();

// origines complètes avec schéma et hôte, comparées à l'identique
const ALLOWED_ORIGINS = new Set(['https://app.example.com', 'https://admin.example.com']);

// une Origin inconnue ou absente ne reçoit aucun en-tête CORS ; cors ajoute Vary: Origin
app.use(cors({
  origin: (origin, callback) => callback(null, origin !== undefined && ALLOWED_ORIGINS.has(origin)),
  credentials: true,
  methods: ['GET', 'POST'],
  maxAge: 600,
}));

// les données personnelles ne sont jamais stockées par les caches partagés
app.get('/api/account', requireSession, (req, res) => {
  res.set('Cache-Control', 'no-store');
  res.json(accountFor(req.session.userId));
});

Liste de Contrôle de Sécurité pour l'Ingénierie

• Tenez une liste d'autorisation à correspondance exacte d'origines complètes (schéma, hôte et port) et comparez via un Set ; ne reflétez jamais Origin et n'utilisez ni contrôle de suffixe, ni sous-chaîne, ni regex sans ancres.
• N'autorisez jamais l'origine null, et n'autorisez jamais les identifiants pour une origine que vous ne contrôlez pas.
• Envoyez Vary: Origin dès que Access-Control-Allow-Origin est choisi par requête, et Cache-Control: no-store sur les réponses contenant des données personnelles.
• Configurez les cookies de session en SameSite=Lax ou Strict pour que les requêtes intersites ne les portent pas.
• Ajoutez un test CI qui envoie Origin: https://attacker.example et Origin: null aux routes authentifiées et échoue si Access-Control-Allow-Origin revient.

Sources

• CWE-942: Permissive Cross-domain Policy with Untrusted Domains
• MDN — Cross-Origin Resource Sharing (CORS)
• expressjs/cors — configuration options
• PortSwigger Research — Exploiting CORS misconfigurations for Bitcoins and bounties (2016)