Cross-Site Request Forgery (CSRF, CWE-352): como funciona e como evitar

Conceitos Centrais e Termos

Credenciais ambientes

Os navegadores anexam cookies e autenticação HTTP às requisições para um site, não importa qual página as iniciou. Uma requisição de evil.example para app.example ainda leva o cookie de sessão de app.example, a menos que o atributo SameSite do cookie a bloqueie.

Atributo SameSite do cookie

Strict retém o cookie em toda requisição entre sites, Lax só o envia em navegações GET de nível superior e None sempre o envia (e exige Secure). O Chromium trata cookies sem o atributo como Lax; Firefox e Safari não, e 'mesmo site' ainda inclui subdomínios irmãos.

Token sincronizador

Um valor aleatório ligado à sessão que o servidor coloca em cada formulário ou página e exige em toda requisição insegura. Outro site não consegue lê-lo, então não consegue forjar uma requisição válida. O CSRFProtect do Flask-WTF o emite via csrf_token() e confere o campo csrf_token ou o cabeçalho X-CSRFToken.

Fetch Metadata (Sec-Fetch-Site)

Navegadores modernos enviam Sec-Fetch-Site: cross-site, same-site, same-origin ou none em toda requisição, e as páginas não conseguem forjá-lo. Rejeitar métodos inseguros que não sejam same-origin bloqueia o CSRF numa única verificação no servidor.

Mudança de estado em GET

Uma rota que altera dados em GET pode ser disparada por uma tag <img> ou um link, e SameSite=Lax ainda envia o cookie em navegações GET de nível superior. Ler request.values aceita a query string além do corpo do formulário.

Fluxo de Ataque Passo a Paso

Código-Fonte: Vulnerável vs. Seguro

# app.py: o cookie de sessão é a única prova de que o usuário quis isso
import os

from flask import Flask, abort, request, session

from .db import db

app = Flask(__name__)
app.config.update(
    SECRET_KEY=os.environ["FLASK_SECRET_KEY"],
    SESSION_COOKIE_SECURE=True,
    SESSION_COOKIE_SAMESITE="None",
)


# GET também funciona, e request.values lê também a query string
@app.route("/account/email", methods=["GET", "POST"])
def change_email():
    user_id = session.get("user_id")
    if user_id is None:
        abort(401)
    db.execute("UPDATE users SET email = ? WHERE id = ?", (request.values["email"], user_id))
    return {"status": "ok"}

# app.py: token, cookie SameSite e Fetch Metadata juntos
import os

from flask import Flask, abort, request, session
from flask_wtf.csrf import CSRFProtect

from .db import db

app = Flask(__name__)
app.config.update(
    SECRET_KEY=os.environ["FLASK_SECRET_KEY"],
    SESSION_COOKIE_SECURE=True,
    SESSION_COOKIE_HTTPONLY=True,
    SESSION_COOKIE_SAMESITE="Lax",
)
# todo POST exige csrf_token; formulários renderizam {{ csrf_token() }}, fetch() envia X-CSRFToken
csrf = CSRFProtect(app)


# escritas iniciadas por outro site são recusadas antes de a rota rodar
@app.before_request
def reject_cross_site_writes():
    if request.method not in ("GET", "HEAD", "OPTIONS"):
        if request.headers.get("Sec-Fetch-Site", "same-origin") not in ("same-origin", "none"):
            abort(403)


# só POST, dados vindos do corpo do formulário
@app.post("/account/email")
def change_email():
    user_id = session.get("user_id")
    if user_id is None:
        abort(401)
    db.execute("UPDATE users SET email = ? WHERE id = ?", (request.form["email"], user_id))
    return {"status": "ok"}

Lista de Verificação de Segurança para Engenharia

• Altere estado só em POST, PUT, PATCH ou DELETE e leia os dados do formulário no corpo (request.form), nunca em request.values ou na query string.
• Ative o middleware de CSRF do framework para o app inteiro (CSRFProtect, CsrfViewMiddleware do Django, csrf() do Spring Security) e inclua o token em todo formulário e requisição AJAX.
• Defina os cookies de sessão como Secure, HttpOnly e SameSite=Lax ou Strict; use SameSite=None só em cookies que precisam funcionar dentro de iframes de outros sites.
• Rejeite requisições inseguras cujo cabeçalho Sec-Fetch-Site seja cross-site ou same-site.
• Adicione um teste no CI que envie a cada rota que altera estado uma requisição sem o token e espere 400 ou 403.

Fontes

• CWE-352: Cross-Site Request Forgery (CSRF)
• OWASP Cross-Site Request Forgery Prevention Cheat Sheet
• Flask-WTF — CSRF Protection
• MDN — Sec-Fetch-Site
• MDN — Set-Cookie: SameSite