Coders Conquer Security : Série Partage & Apprentissage - Inclusion de fichier distant

Les lecteurs de cette série d'articles remarqueront sans doute de nombreuses similitudes entre la vulnérabilité d'inclusion de fichier distant et celles d'inclusion de fichier local et de traversée de répertoire abordées précédemment. Leurs causes profondes sont identiques, tout comme les correctifs recommandés.

À bien des égards, la vulnérabilité d'inclusion de fichier distant est beaucoup plus dangereuse, et plus facile à exploiter, que son équivalent local. Elle doit donc être identifiée et corrigée dès que possible. Mieux encore, les applications web devraient être conçues de manière à empêcher son apparition dès le départ.

Dans cet épisode, nous aborderons :

• Comment les pirates exploitent la vulnérabilité d'inclusion de fichier distant
• Pourquoi autoriser l'inclusion de fichier distant est dangereux
• Techniques pour résoudre ce problème.

Comment les attaquants exploitent-ils l'inclusion de fichier distant ?

La vulnérabilité d'inclusion de fichier distant tire parti de la commande ou du mécanisme d'« inclusion dynamique de fichier » présent dans la plupart des frameworks de programmation. Cette fonctionnalité est destinée à permettre aux développeurs d'utiliser des fichiers situés sur un serveur secondaire pour exécuter des activités sur le serveur d'application. Entre de mauvaises mains, cela peut évidemment s'avérer dangereux.

Les attaquants exploitent cette capacité en trouvant des sites ou des applications qui autorisent des entrées utilisateur non contrôlées, provenant par exemple d'en-têtes HTTP ou de champs de formulaires interactifs. Ils les utilisent comme point de départ pour générer des commandes d'inclusion de fichier.

Par exemple, si un site utilise la fonction GET pour charger des pages, comme page = request.getParameter("page'); include page;, un attaquant pourrait envoyer une requête utilisant la commande page, mais avec l'URL d'un site qu'il contrôle et le chemin d'accès au fichier qu'il souhaite exécuter. La requête est transmise au serveur et le fichier distant est exécuté sur l'hôte. L'activité est autorisée car elle fait désormais partie de l'application approuvée.

Pourquoi la vulnérabilité d'inclusion de fichier distant est-elle dangereuse ?

Le niveau de danger posé par l'inclusion de fichier distant est extrêmement élevé. Contrairement aux vulnérabilités d'inclusion de fichier local, où les fichiers exécutés par un attaquant doivent exister sur l'hôte et être trouvés par tâtonnements, il n'existe aucune restriction de ce type ici. L'attaquant connaît l'emplacement des fichiers qu'il souhaite exploiter, puisqu'ils se trouvent probablement sur ses propres machines ou sur des sites qu'il contrôle. Les fichiers peuvent être choisis sur mesure et n'ont pas besoin d'exister sur la machine cible avant l'exploitation. Il peut même s'agir de scripts spécifiquement conçus pour exploiter un hôte distant.

En résumé, dès qu'un attaquant parvient à trouver et à exploiter une vulnérabilité d'inclusion de fichier distant, rien ne l'empêche de prendre le contrôle total d'une application, voire d'un site entier. Aucune donnée stockée ne sera à l'abri de son intrusion.

Suppression de la vulnérabilité d'inclusion de fichier distant

Ne laissez jamais une entrée utilisateur être transmise directement à une commande d'inclusion de fichier pour exécution. Utilisez plutôt une table de référence indirecte des commandes et n'exécutez que celles qui y figurent. Une table de référence indirecte associe les entrées utilisateur non fiables à un ensemble de valeurs codées en dur sur le serveur. Veillez à mettre sur liste blanche toutes les zones de saisie utilisateur, sans oublier les en-têtes HTTP, les paramètres de formulaire et même les cookies. Cela fermera toute porte qu'un attaquant pourrait utiliser pour créer une commande d'inclusion de fichier.

En prime, une désinfection et une validation appropriées du contenu généré par les utilisateurs, ainsi que l'utilisation de tables de référence pour exécuter les commandes, permettront non seulement d'éliminer la vulnérabilité d'inclusion de fichier distant, mais aussi bien d'autres, y compris son dangereux cousin : l'exploitation par inclusion de fichier local et traversée de répertoire.

Plus d'informations sur l'inclusion de fichier distant

Pour aller plus loin, vous pouvez consulter le guide de référence de l'OWASP sur les exploits d'inclusion de fichier distant. Vous pouvez également mettre vos nouvelles connaissances défensives à l'épreuve avec la démo gratuite de la plateforme Secure Code Warrior, qui forme les équipes de cybersécurité à devenir des experts. Pour en savoir plus sur la neutralisation de cette vulnérabilité et d'autres menaces, visitez le blog de Secure Code Warrior.