Casdoor 2.55.0 anfällig für Cross-Site Request Forgery (CSRF)-Angriffe

Casdoor 2.55.0 von Cross-Site Request Forgery (CSRF)-Schwachstelle betroffen

Sicherheitsforscher haben eine Cross-Site Request Forgery (CSRF)-Schwachstelle in Casdoor Version 2.55.0 identifiziert, einer Open-Source-Plattform für Identity and Access Management (IAM). Die Schwachstelle, die unter CVE-2024-XXXX (noch in Zuweisung) geführt wird, ermöglicht es Angreifern, unbefugte Aktionen im Namen authentifizierter Benutzer auszuführen, indem diese dazu gebracht werden, manipulierte Anfragen zu übermitteln.

Technische Details

Die Schwachstelle resultiert aus dem Fehlen von CSRF-Tokens in kritischen HTTP-Anfragen, insbesondere bei solchen, die Benutzerkontenänderungen verarbeiten. Angreifer können dies ausnutzen, indem sie manipulierte Links oder Formulare erstellen, die – wenn sie von einem eingeloggten Benutzer interagiert werden – unbeabsichtigte Aktionen auslösen, wie zum Beispiel:

• Ändern von Benutzerkonteneinstellungen
• Ändern von Passwörtern oder E-Mail-Adressen
• Erweitern von Berechtigungen (falls mit anderen Schwachstellen kombiniert)

Der Exploit (veröffentlicht auf Exploit-DB als #52432) zeigt, wie ein Angreifer Anfragen fälschen kann, um Benutzerprofile ohne das Wissen des Opfers zu ändern. Für die Ausnutzung ist keine weitere Benutzerinteraktion erforderlich, außer das Besuchen einer kompromittierten oder bösartigen Website.

Auswirkungsanalyse

Organisationen, die Casdoor 2.55.0 für Authentifizierung oder IAM nutzen, sind erheblichen Risiken ausgesetzt, darunter:

• Unautorisierte Kontenübernahmen, falls Angreifer Anmeldedaten oder Berechtigungen ändern.
• Datenlecks, wenn sensible Benutzerinformationen geändert oder exfiltriert werden.
• Reputationsschäden durch kompromittierte Sicherheitskontrollen.

Die Schwachstelle ist besonders besorgniserregend für Unternehmen, die Casdoor für Single Sign-On (SSO) oder Multi-Faktor-Authentifizierung (MFA) einsetzen, da sie grundlegende Sicherheitsebenen untergraben könnte.

Empfehlungen

1. Sofortiges Patchen: Aktualisieren Sie auf die neueste Version von Casdoor (falls verfügbar) oder wenden Sie den vom Anbieter bereitgestellten Fix an. Überwachen Sie das Casdoor GitHub-Repository auf Updates.
2. Minderungsstrategien:
   • Implementieren Sie CSRF-Tokens für alle zustandsändernden Anfragen (z. B. POST, PUT, DELETE).
   • Erzwingen Sie SameSite-Cookie-Attribute, um Cross-Origin-Anfragen einzuschränken.
   • Setzen Sie Web Application Firewalls (WAFs) ein, um bösartigen Datenverkehr zu filtern.
3. Benutzersensibilisierung: Schulen Sie Benutzer darin, Phishing-Versuche zu erkennen und das Klicken auf verdächtige Links während der Anmeldung bei Casdoor zu vermeiden.
4. Überwachung auf Ausnutzung: Überprüfen Sie Protokolle auf ungewöhnliche Kontenänderungen oder unbefugte Zugriffsversuche.

Sicherheitsteams sollten diese Schwachstelle priorisieren, da sie das Potenzial hat, laterale Bewegungen oder Privilegienerweiterungen in gezielten Angriffen zu ermöglichen. Weitere Details, einschließlich Proof-of-Concept (PoC)-Code, sind im Exploit-DB-Eintrag verfügbar.