CORS 설정 오류(CWE-942): Origin 반사가 데이터를 유출하는 방식과 해결 방법

핵심 개념 및 용어

동일 출처 정책

브라우저는 스크립트가 자신의 출처(스킴, 호스트, 포트)의 응답만 읽도록 허용합니다. CORS 응답 헤더는 서버가 지정한 출처에 대해 이 규칙을 의도적으로 완화하는 방법입니다.

자격 증명과 함께 쓰는 Access-Control-Allow-Origin

응답이 Access-Control-Allow-Origin에 호출자의 출처를 적고 Access-Control-Allow-Credentials: true를 보내면, 그 출처의 스크립트는 사용자 쿠키가 실린 요청의 응답을 읽을 수 있습니다. 브라우저는 자격 증명과 *의 조합을 거부하므로, 잘못 설정된 서버는 출처를 그대로 돌려줍니다.

Origin 반사와 접미사 비교

Origin 헤더를 응답에 복사하면 모든 사이트를 신뢰하게 됩니다. endsWith('example.com') 같은 검사, 부분 문자열 비교, 앵커가 없고 점을 이스케이프하지 않은 정규식도 https://attacker-example.com을 받아들입니다.

null 오리진

샌드박스 iframe, data: URL, 일부 리디렉션은 Origin: null을 보냅니다. 어떤 공격자든 만들어 낼 수 있으므로 null을 허용하는 것은 모두를 허용하는 것과 같습니다.

Vary: Origin

Access-Control-Allow-Origin이 요청에 따라 달라지면, 공유 캐시가 한 출처의 CORS 헤더를 다른 출처에 내주지 않도록 응답에 Vary: Origin이 있어야 합니다. cors 패키지는 동적 출처에 이를 추가합니다.

단계별 공격 실행 흐름

소스 코드 비교: 취약한 구현 vs 보안 패치

// server.js: example.com으로 끝나는 모든 출처와 null이 쿠키와 함께 읽을 수 있다
import express from 'express';
import cors from 'cors';
import { accountFor, requireSession } from './account.js';

const app = express();

// true를 반환하면 cors가 호출자의 Origin을 자격 증명과 함께 반사한다
app.use(cors({
  origin: (origin, callback) => callback(null, !origin || origin === 'null' || origin.endsWith('example.com')),
  credentials: true,
}));

// 승인된 출처가 읽을 수 있는 개인 계정 데이터
app.get('/api/account', requireSession, (req, res) => {
  res.json(accountFor(req.session.userId));
});

// server.js: 정확한 출처 두 개만 허용
import express from 'express';
import cors from 'cors';
import { accountFor, requireSession } from './account.js';

const app = express();

// 스킴과 호스트를 포함한 전체 출처, 정확히 비교
const ALLOWED_ORIGINS = new Set(['https://app.example.com', 'https://admin.example.com']);

// 모르거나 없는 Origin에는 CORS 헤더를 주지 않는다; cors가 Vary: Origin을 추가한다
app.use(cors({
  origin: (origin, callback) => callback(null, origin !== undefined && ALLOWED_ORIGINS.has(origin)),
  credentials: true,
  methods: ['GET', 'POST'],
  maxAge: 600,
}));

// 개인 데이터는 공유 캐시에 저장되지 않는다
app.get('/api/account', requireSession, (req, res) => {
  res.set('Cache-Control', 'no-store');
  res.json(accountFor(req.session.userId));
});

엔지니어링 및 시스템 보안 강화 체크리스트

• 전체 출처(스킴, 호스트, 포트)를 정확히 일치시키는 허용 목록을 두고 Set 조회로 비교합니다. Origin을 반사하거나 접미사, 부분 문자열, 앵커 없는 정규식 검사를 쓰지 않습니다.
• null 오리진은 절대 허용하지 않고, 통제하지 않는 출처에는 자격 증명을 허용하지 않습니다.
• Access-Control-Allow-Origin을 요청마다 정할 때는 항상 Vary: Origin을 보내고, 개인 데이터가 담긴 응답에는 Cache-Control: no-store를 보냅니다.
• 교차 사이트 요청에 세션 쿠키가 실리지 않도록 SameSite=Lax 또는 Strict로 설정합니다.
• 인증이 필요한 라우트에 Origin: https://attacker.example과 Origin: null을 보내고, Access-Control-Allow-Origin이 돌아오면 실패하는 CI 테스트를 추가합니다.

출처

• CWE-942: Permissive Cross-domain Policy with Untrusted Domains
• MDN — Cross-Origin Resource Sharing (CORS)
• expressjs/cors — configuration options
• PortSwigger Research — Exploiting CORS misconfigurations for Bitcoins and bounties (2016)