Configuração incorreta de CORS (CWE-942): como o reflexo de Origin vaza dados e como corrigir

Conceitos Centrais e Termos

Política de mesma origem

Os navegadores só deixam um script ler respostas da sua própria origem (esquema, host e porta). Os cabeçalhos de resposta CORS são a forma de o servidor relaxar essa regra de propósito para origens nomeadas.

Access-Control-Allow-Origin com credenciais

Se a resposta nomeia a origem de quem chama em Access-Control-Allow-Origin e envia Access-Control-Allow-Credentials: true, um script nessa origem pode ler respostas de requisições que levaram os cookies do usuário. Os navegadores recusam * junto com credenciais, e por isso servidores mal configurados ecoam a origem.

Reflexo de Origin e verificação de sufixo

Copiar o cabeçalho Origin para a resposta confia em todos os sites. Verificações como endsWith('example.com'), buscas por substring ou expressões regulares sem âncoras e com pontos não escapados também aceitam https://attacker-example.com.

A origem null

Iframes em sandbox, URLs data: e alguns redirecionamentos enviam Origin: null. Qualquer atacante consegue produzi-la, então permitir null é o mesmo que permitir todo mundo.

Vary: Origin

Quando Access-Control-Allow-Origin depende da requisição, a resposta precisa levar Vary: Origin para que caches compartilhados não entreguem os cabeçalhos CORS de uma origem a outra. O pacote cors o adiciona para origens dinâmicas.

Fluxo de Ataque Passo a Paso

Código-Fonte: Vulnerável vs. Seguro

// server.js: qualquer origem terminada em example.com, mais null, pode ler com cookies
import express from 'express';
import cors from 'cors';
import { accountFor, requireSession } from './account.js';

const app = express();

// true faz o cors ecoar a Origin de quem chama junto com credenciais
app.use(cors({
  origin: (origin, callback) => callback(null, !origin || origin === 'null' || origin.endsWith('example.com')),
  credentials: true,
}));

// dados privados da conta legíveis pelas origens aprovadas
app.get('/api/account', requireSession, (req, res) => {
  res.json(accountFor(req.session.userId));
});

// server.js: duas origens exatas, nada mais
import express from 'express';
import cors from 'cors';
import { accountFor, requireSession } from './account.js';

const app = express();

// origens completas com esquema e host, comparadas exatamente
const ALLOWED_ORIGINS = new Set(['https://app.example.com', 'https://admin.example.com']);

// Origin desconhecida ou ausente não recebe cabeçalhos CORS; o cors adiciona Vary: Origin
app.use(cors({
  origin: (origin, callback) => callback(null, origin !== undefined && ALLOWED_ORIGINS.has(origin)),
  credentials: true,
  methods: ['GET', 'POST'],
  maxAge: 600,
}));

// dados pessoais nunca ficam em caches compartilhados
app.get('/api/account', requireSession, (req, res) => {
  res.set('Cache-Control', 'no-store');
  res.json(accountFor(req.session.userId));
});

Lista de Verificação de Segurança para Engenharia

• Mantenha uma lista de permissões com correspondência exata de origens completas (esquema, host e porta) e compare com uma consulta a um Set; nunca reflita Origin nem use verificações de sufixo, substring ou regex sem âncoras.
• Nunca permita a origem null e nunca permita credenciais para uma origem que você não controla.
• Envie Vary: Origin sempre que Access-Control-Allow-Origin for escolhido por requisição, e Cache-Control: no-store em respostas com dados pessoais.
• Defina os cookies de sessão como SameSite=Lax ou Strict para que requisições entre sites não os levem.
• Adicione um teste no CI que envie Origin: https://attacker.example e Origin: null para rotas autenticadas e falhe se Access-Control-Allow-Origin voltar.

Fontes

• CWE-942: Permissive Cross-domain Policy with Untrusted Domains
• MDN — Cross-Origin Resource Sharing (CORS)
• expressjs/cors — configuration options
• PortSwigger Research — Exploiting CORS misconfigurations for Bitcoins and bounties (2016)