@angular/common: Wyciek tokena XSRF przez rozbieżność w parsowaniu adresów URL w kliencie HTTP Angulara (Niekompletna poprawka dla CVE-2025-66035)

Niekompletna poprawka dla GHSA-58c5-g7wp-6w37 (CVE-2025-66035) w kliencie HTTP biblioteki @angular/common (HttpClient) umożliwia wyciek tokenów Cross-Site Request Forgery (XSRF) do kontrolowanych przez atakującego domen cross-origin, gdy żądania używają adresów URL wykorzystujących rozbieżności w parsowaniu między wyrażeniami regularnymi a parserem WHATWG URL w przeglądarce.

Opis techniczny

Aby rozwiązać CVE-2025-66035, w xsrfInterceptorFn wprowadzono wyrażenie regularne (const ABSOLUTE_URL_REGEX = /^(?:https?:)?\/\//i) do wykrywania i pomijania bezwzględnych oraz zależnych od protokołu adresów URL przed dołączeniem nagłówka X-XSRF-TOKEN.

Przeglądarki rozwiązują jednak adresy URL żądań przekazywane do fetch() i XMLHttpRequest.open() za pomocą parsera WHATWG URL. W przypadku schematów http: oraz https: standard WHATWG URL wykonuje kilka normalizacji przed ustaleniem authority/origin:

• Odwrócone ukośniki (\) są traktowane jak zwykłe ukośniki (/) — np. /\evil.example/x, \\evil.example/x, \/evil.example/x, https:\\evil.example/x, https:/\evil.example/x.
• Początkowe i końcowe znaki kontrolne C0 oraz spacje (<= 0x20) są usuwane — np. ' //evil.example/x', '\0//evil.example/x', '\x1f//evil.example/x'.
• Znaki tabulacji ASCII (\t), nowego wiersza (\n) i powrotu karetki (\r) są usuwane z dowolnego miejsca w danych wejściowych — np. '/\t/evil.example/x', '/\n/evil.example/x', 'htt\tps://evil.example/x'.

Ponieważ te adresy URL nie pasują do /^(?:https?:)?\/\//i, xsrfInterceptorFn traktuje je jako względne adresy URL w ramach tego samego źródła i dołącza nagłówek X-XSRF-TOKEN, podczas gdy przeglądarka rozwiązuje i wysyła żądanie do zewnętrznego hosta (evil.example).

Uwaga: W wersjach Angular 21.0.3+ oraz 22.x wyrażenie regularne zostało zastąpione porównaniem pochodzenia WHATWG new URL(req.url, locationOrigin) w #65683 i wersje te nie były podatne. Jednak gałąź LTS 20.3.x zachowała wyrażenie regularne aż do 20.3.34.

Wpływ

Wyciek tokena omija wbudowaną ochronę przed XSRF w podatnych wersjach Angulara, pozwalając atakującemu na przechwycenie poprawnego nagłówka X-XSRF-TOKEN użytkownika, jeśli serwer atakującego zezwala na żądanie i niestandardowy nagłówek za pośrednictwem CORS. Po jego uzyskaniu atakujący może przeprowadzić ataki Cross-Site Request Forgery (CSRF) przeciwko sesji ofiary.

Warunki wstępne ataku

1. Aplikacja Angular ofiary musi mieć włączoną ochronę przed XSRF (włączoną domyślnie w HttpClient).
2. Atakujący musi być w stanie skłonić aplikację do wysłania modyfikującego stan żądania HTTP (np. POST, PUT, DELETE, PATCH) na kontrolowany przez siebie adres URL (taki jak /\attacker.example/api lub //attacker.example/api).

Poprawki

Problem rozwiązano poprzez parsowanie i porównywanie pochodzenia adresu URL żądania z bieżącym pochodzeniem aplikacji przy użyciu standardowego konstruktora URL (new URL(req.url, locationOrigin)).

• 21.0.3 (oraz wszystkie wydania 22.x)
• 20.3.34

Obejścia

Jeśli nie można natychmiast zaktualizować biblioteki do poprawionej wersji:

• Waliduj i normalizuj wychodzące adresy URL żądań za pomocą new URL(url, window.location.origin) oraz weryfikuj, że parsedUrl.origin === window.location.origin przed przekazaniem dynamicznych adresów URL do mutujących żądań HttpClient.
• Unikaj przekazywania niezaufanych lub kontrolowanych przez użytkownika adresów URL do mutujących metod HttpClient.