Série OWASP Top 10 API : Coders Conquer Security - Assignation de masse

La vulnérabilité d'assignation de masse est apparue car de nombreux frameworks modernes encouragent les développeurs à utiliser des fonctions qui lient automatiquement les entrées des clients aux variables de code et aux objets internes. Cela permet de simplifier le code et d'accélérer les opérations.

Les attaquants peuvent exploiter cette méthode pour forcer des modifications sur des propriétés d'objets qui ne devraient jamais être mises à jour par un client. Cela entraîne généralement des problèmes métier, comme un utilisateur s'octroyant des privilèges d'administrateur, plutôt que de faire tomber un site web ou de voler des secrets d'entreprise. Les attaquants doivent également avoir une idée des relations entre les objets et la logique métier de l'application qu'ils exploitent.

Cependant, cela ne rend pas la vulnérabilité d'assignation de masse moins dangereuse entre les mains d'un utilisateur malveillant et astucieux.

Avant de passer au guide complet, essayez notre défi ludique pour voir comment vous vous en sortez :

Comment les attaquants peuvent-ils exploiter la vulnérabilité d'assignation de masse ?

Le scénario proposé par l'OWASP (et légèrement modifié par nos soins) suppose une application de covoiturage qui inclut différentes propriétés liées aux objets dans le code via l'assignation de masse. Celles-ci incluent des propriétés liées aux permissions que les utilisateurs peuvent modifier et des propriétés dépendantes du processus qui ne devraient être définies qu'en interne par l'application. Les deux utilisent l'assignation de masse pour lier les propriétés aux objets.

Dans ce scénario, l'application de covoiturage permet aux utilisateurs de mettre à jour leur profil, comme c'est souvent le cas dans de nombreuses applications orientées utilisateur. Cela se fait via un appel API envoyé à PUT, qui renvoie l'objet JSON suivant :

{"user_name":"SneakySnake", "age":17, "is_admin":false}

Parce que l'attaquant, M. SneakySnake dans ce cas, a compris la relation entre les propriétés et les objets, il peut renvoyer sa requête initiale pour mettre à jour son profil avec la chaîne suivante :

{"user_name":"SneakySnake","age":24,, "is_admin":true}

Comme le point de terminaison est vulnérable à l'assignation de masse, il accepte la nouvelle entrée comme valide. Non seulement notre pirate a ajouté quelques années à son profil, mais il s'est également octroyé des privilèges d'administrateur.

Éliminer la vulnérabilité d'assignation de masse

Aussi pratique que puisse être l'utilisation de la fonction d'assignation de masse dans certains frameworks, vous devriez l'éviter si vous souhaitez sécuriser vos API. Analysez plutôt les valeurs de la requête au lieu de les lier directement à un objet. Vous pouvez également utiliser un objet de transfert de données réduit, qui offrirait une commodité presque identique à la liaison directe, sans le risque associé.

Par mesure de précaution supplémentaire, les propriétés sensibles comme les privilèges d'administrateur de l'exemple ci-dessus pourraient être refusées afin qu'elles ne soient jamais acceptées par le serveur lors d'un appel API. Une idée encore meilleure serait de refuser toutes les propriétés par défaut, puis d'autoriser uniquement les propriétés spécifiques et non sensibles que vous souhaitez laisser les utilisateurs modifier. Ces mesures aident à verrouiller vos API et à éliminer la vulnérabilité d'assignation de masse de votre environnement.

Consultez les pages du blog Secure Code Warrior pour en savoir plus sur cette vulnérabilité et découvrir comment protéger votre organisation et vos clients contre d'autres failles de sécurité. Vous pouvez également demander une démonstration de la plateforme de formation Secure Code Warrior pour maintenir vos compétences en cybersécurité à jour.