brak polityki CORS

Brak polityki CORS to luka bezpieczeństwa dopuszczająca żądania z dowolnej domeny bez zdefiniowanych ograniczeń.

Czym jest brak polityki CORS

Brak polityki CORS oznacza sytuację, w której aplikacja internetowa nie definiuje poprawnych reguł dotyczących żądań pochodzących z innych źródeł. CORS, czyli Cross-Origin Resource Sharing, jest mechanizmem przeglądarek opartym na nagłówkach HTTP. Pozwala określić, z jakich źródeł może korzystać określony zasób udostępniany przez aplikację. Źródło, nazywane także originem, obejmuje schemat połączenia, nazwę hosta i port. Przykładowo adresy używające różnych domen albo różnych portów są traktowane przez przeglądarkę jako różne źródła.

Samo pochodzenie żądania z innej domeny nie zawsze jest błędem. Aplikacja może świadomie udostępniać publiczne dane wielu witrynom, ale powinna wtedy określić dozwolone źródła oraz zakres operacji. Problem pojawia się wtedy, gdy serwer nie zwraca nagłówków CORS, zwraca je zbyt szeroko albo ustawia wartość Access-Control-Allow-Origin: * bez uwzględnienia charakteru danych. W takim przypadku przeglądarka może zablokować odczyt odpowiedzi przez skrypt albo, przy nieprawidłowej konfiguracji dodatkowych mechanizmów, dopuścić do nadmiernego dostępu do zasobów.

Jak przeglądarka obsługuje żądania między źródłami

Przeglądarka stosuje zasadę same-origin policy, która ogranicza możliwość odczytywania danych z innego źródła przez kod JavaScript uruchomiony na stronie. CORS jest kontrolowany przez odpowiedź serwera. Przy prostym żądaniu przeglądarka może wysłać zapytanie bez wcześniejszego sprawdzenia, ale udostępni odpowiedź skryptowi dopiero wtedy, gdy serwer zwróci zgodny nagłówek Access-Control-Allow-Origin. Wartość tego nagłówka powinna odpowiadać konkretnemu, zaakceptowanemu originowi albo gwiazdce użytej wyłącznie w scenariuszu, w którym nie są potrzebne poświadczenia użytkownika.

Żądania o bardziej ryzykownym charakterze mogą być poprzedzone zapytaniem preflight metodą OPTIONS. W odpowiedzi serwer może określić dozwolone metody za pomocą Access-Control-Allow-Methods, akceptowane nagłówki przez Access-Control-Allow-Headers oraz dozwolone źródło przez Access-Control-Allow-Origin. Jeżeli żądanie wykorzystuje poświadczenia, takie jak ciasteczka sesyjne, serwer musi dodatkowo zwrócić Access-Control-Allow-Credentials: true. W takim wariancie wartość gwiazdki dla Access-Control-Allow-Origin jest niedopuszczalna. Nieprawidłowa odpowiedź preflight może spowodować komunikat w konsoli przeglądarki, ale nie oznacza automatycznie, że serwer jest bezpiecznie skonfigurowany.

Skutki zbyt szerokiej lub niespójnej konfiguracji

Najczęstszy błąd polega na bezwarunkowym odbijaniu wartości nagłówka Origin w odpowiedzi. Jeżeli serwer przyjmuje dowolny origin i jednocześnie zezwala na poświadczenia, strona kontrolowana przez osobę trzecią może próbować wykonywać żądania w kontekście zalogowanego użytkownika i odczytywać odpowiedzi. Skala zagrożenia zależy od tego, jakie zasoby są dostępne, czy sesja opiera się na ciasteczkach oraz czy operacje wymagają dodatkowego tokenu anty-CSRF. CORS nie zastępuje uwierzytelniania, autoryzacji ani ochrony przed fałszowaniem żądań.

Inny problem występuje wtedy, gdy aplikacja ustawia różne reguły dla środowiska testowego, produkcji, interfejsu API i plików statycznych. Błąd może dotyczyć wyłącznie wybranej ścieżki, metody HTTP albo odpowiedzi na zapytanie OPTIONS. Do sprawdzenia należy porównać nagłówki odpowiedzi dla żądań z dozwolonego i niedozwolonego źródła, zweryfikować obsługę przekierowań oraz upewnić się, że po zmianie reguł działa nagłówek Vary: Origin, gdy odpowiedź zależy od wartości originu. Diagnostyka powinna rozdzielać błąd przeglądarki od rzeczywistego ujawnienia danych, ponieważ komunikat CORS może również wskazywać zwykłą niespójność konfiguracji klienta i serwera.

Rozpoznanie problemu na laptopie lub komputerze PC

Na laptopie albo komputerze stacjonarnym problem można rozpoznać przez narzędzia deweloperskie przeglądarki. W zakładce Network należy odszukać żądanie aplikacji, sprawdzić jego metodę, adres docelowy, kod odpowiedzi oraz nagłówki request i response. Szczególne znaczenie mają pola Origin, Access-Control-Allow-Origin, Access-Control-Allow-Credentials, Access-Control-Allow-Methods i Access-Control-Allow-Headers. W przypadku preflight trzeba przeanalizować osobne żądanie OPTIONS, ponieważ właściwe żądanie może nie zostać wysłane, jeśli odpowiedź wstępna nie spełni wymagań przeglądarki.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną diagnostykę laptopów i komputerów PC, w tym sprawdzenie ustawień przeglądarki, połączenia sieciowego oraz objawów wskazujących na nieprawidłową komunikację aplikacji internetowej. Przy analizie należy odróżnić brak polityki CORS od blokady rozszerzenia przeglądarki, błędnego adresu aplikacji, problemu z certyfikatem TLS, niedostępnego serwera lub błędu DNS. Trwałe usunięcie problemu wymaga zmiany konfiguracji po stronie serwera albo aplikacji, tak aby dopuszczone były wyłącznie uzasadnione źródła, metody i nagłówki, bez rozszerzania dostępu na wszystkie domeny.