Les développeurs à la conquête de la sécurité : Série Partage & Apprentissage - Redirections et renvois non validés

Coder un site web ou une application capable de traiter des redirections et des transferts non validés peut s'avérer extrêmement dangereux, tant pour vos utilisateurs que pour votre organisation. Cette erreur courante est souvent exploitée par des pirates informatiques cherchant à mener des campagnes de phishing ou à accéder à des pages et des informations qui devraient normalement être restreintes.

Dès lors qu'une application web est conçue pour rediriger les utilisateurs vers de nouvelles pages, il existe un risque que ces requêtes soient manipulées ou détournées. Cela peut se produire en l'absence d'un processus de validation empêchant les paramètres de redirection de pointer vers des destinations non souhaitées.

La bonne nouvelle est que les redirections et transferts non validés font partie des vulnérabilités les plus faciles à éliminer de votre environnement. Une fois supprimés, vous pouvez prendre quelques mesures simples pour garantir qu'ils ne soient plus jamais générés à l'avenir.

Dans cet épisode, nous aborderons :

• Comment les pirates exploitent les vulnérabilités de redirection et de transfert non validés
• Pourquoi autoriser les redirections et transferts non validés peut être dangereux
• Politiques et techniques pouvant être employées pour détecter et corriger ce problème.

Comment les attaquants exploitent-ils les redirections et transferts non validés ?

Les attaquants doivent d'abord trouver une application web configurée pour rediriger les utilisateurs vers une ou plusieurs pages spécifiques. Si la page de destination est définie dans le code, il n'y a aucune vulnérabilité. Par exemple, en Java, il s'agirait d'un moyen sûr et prédéfini d'envoyer un utilisateur vers un nouvel emplacement sans qu'il ait à effectuer d'action, comme cliquer sur un lien hypertexte.

response.sendRedirect("http://www.knownsafesite.com");

La vulnérabilité survient si le site est programmé pour accepter une saisie utilisateur pour la redirection, ou si le paramètre est laissé ouvert, peut-être pour obtenir des informations d'une autre source. Par exemple, un développeur pourrait utiliser le paramètre GET "url".

response.sendRedirect(request.getParameter("url"));

Bien que cela offre plus de flexibilité, cela crée également la vulnérabilité des redirections et transferts non validés. Les pirates peuvent ajouter des informations après les barres obliques pour déclencher une redirection vers le site de leur choix, par exemple dans le cadre d'un e-mail de phishing. Les utilisateurs voient le domaine de confiance dans la première partie du lien et ne réalisent pas que le site web peut les rediriger vers le site du pirate.

Pourquoi les redirections et transferts non validés sont-ils si dangereux ?

Le danger posé par l'autorisation de redirections et de transferts non validés peut être important. Pour les utilisateurs, le plus grand risque est de devenir victimes d'attaques de phishing. Comme ils voient l'URL de premier niveau, ils sont plus enclins à faire confiance à un e-mail de phishing ou à une autre communication et à cliquer sur un lien. Et si la page vers laquelle ils sont redirigés ressemble à la vraie page, la tromperie peut être très efficace. Ils pourraient partager leur nom d'utilisateur, leurs mots de passe ou d'autres identifiants sans jamais se douter qu'ils sont manipulés.

Éliminer la menace posée par les redirections et transferts non validés

Les redirections et transferts non validés apparaissent lors du développement d'une application. Ils peuvent être éliminés a posteriori, mais le moyen le plus simple est de ne pas autoriser les paramètres utilisateur ou les chaînes ouvertes dans toute fonction de redirection ou de transfert. Définissez plutôt strictement les URL vers lesquelles les utilisateurs seront redirigés, en éliminant les variables et en ne laissant aucune marge de manœuvre aux attaquants. Mieux encore, envisagez de ne pas utiliser de redirections ou de transferts du tout.

S'il est absolument impossible d'éviter d'avoir des variables dans un processus de redirection ou de transfert, un processus de validation doit être mis en place pour garantir que la redirection pointe vers l'une des destinations valides autorisées. Enfin, utilisez des valeurs de mappage au lieu d'URL réelles. Les pirates essaieront d'utiliser les informations d'URL et ne pourront probablement pas deviner le schéma de mappage, même s'ils soupçonnent son utilisation.

Plus d'informations sur les redirections et transferts non validés

Pour aller plus loin, vous pouvez consulter les pages de référence de l'OWASP sur les redirections et transferts non validés. Vous pouvez également mettre vos nouvelles connaissances défensives à l'épreuve avec la démo gratuite de la plateforme Secure Code Warrior, qui forme les équipes de cybersécurité à devenir des cyber-guerriers hors pair. Pour en savoir plus sur la lutte contre cette vulnérabilité et une galerie d'autres menaces, visitez le blog de Secure Code Warrior.

Éliminez définitivement les redirections et renvois non validés. Mettez vos nouvelles connaissances en pratique et testez vos compétences sur notre plateforme de formation ludique : [Commencer ici]