Les développeurs face à la sécurité : Série Partage & Apprentissage - Utilisation de composants présentant des vulnérabilités connues

Quel est le point commun à toutes les applications ? Les composants, également appelés dépendances ou bibliothèques. Il existe très peu de code dans le monde qui ne dépende pas d'un autre code à un moment donné. Vous commencez même avec une montagne de dépendances dès la création de votre application !

Comme toutes les applications utilisent des composants, dont la plupart n'ont pas été écrits par vous, les vulnérabilités présentes dans ces composants peuvent devenir des responsabilités. Examinons ce que signifie l'utilisation de composants présentant des vulnérabilités connues, les risques encourus et comment y remédier.

Comprendre l'utilisation de composants présentant des vulnérabilités connues

Tous les logiciels complexes comportent des vulnérabilités. C'est la nature même du problème. Vos composants ne seront donc jamais sûrs à 100 %. Cependant, lorsque des vulnérabilités sont découvertes dans vos composants, en êtes-vous informé ? Y êtes-vous préparé ?

Les problèmes surviennent le plus souvent lorsque les composants sont utilisés au-delà de leur durée de vie utile ou après la découverte de vulnérabilités. La plupart des composants et bibliothèques publient des correctifs de sécurité au moment même ou avant l'annonce de la vulnérabilité. Par conséquent, lorsque des vulnérabilités sont découvertes et annoncées dans des composants, il est primordial de les mettre à jour dès que possible. Ne laissez pas de logiciels vulnérables en production.

Les composants peuvent provenir de plusieurs sources. Il arrive que vous achetiez des produits tiers qui s'intègrent directement à votre code personnalisé. Ces composants font alors partie intégrante de votre code et fonctionnent avec le même niveau de privilèges. Une autre source est constituée par les projets open source hébergés sur des sites comme GitHub. L'open source peut être risqué, car toutes les bibliothèques ne sont pas soigneusement examinées ou auditées pour détecter d'éventuelles vulnérabilités.

Les attaquants utilisent les informations sur les vulnérabilités des composants à leur avantage. Comme ces vulnérabilités sont annoncées publiquement, les attaquants en ont connaissance en même temps que vous. Ils disposent également de techniques pour identifier les composants que vous utilisez. Une fois cette information obtenue, ils savent comment attaquer votre application si elle n'est pas corrigée.

Comprendre pourquoi les composants vulnérables sont dangereux

Si vous cherchez une preuve de la dangerosité de l'utilisation de composants présentant des vulnérabilités connues, il suffit de regarder la violation de données chez Equifax en 2017.

En juillet 2017, Equifax, une agence d'évaluation du crédit américaine, a découvert une violation massive de données ayant entraîné la fuite des informations personnelles identifiables de plus de 147 millions de personnes. L'ampleur et l'impact de cette violation sont sans précédent. Récemment, des informations ont été révélées concernant les pratiques de sécurité laxistes d'Equifax.

L'une de ces pratiques laxistes concernait la gestion des correctifs. Equifax ne disposait pas de bonnes pratiques en la matière, ce qui signifiait que leurs composants restaient souvent inutilisés sans correctifs pendant une longue période. C'est la cause directe de la violation.

Le site web d'Equifax utilisait le framework web Apache Struts. Plusieurs mois avant que les attaquants ne piratent le réseau, une vulnérabilité avait été découverte dans le framework Struts, référencée sous le nom Apache Struts CVE-2017-5638. Cependant, Equifax n'a pas corrigé cette vulnérabilité. Les attaquants l'ont utilisée pour accéder au réseau d'Equifax. À partir de là, ils ont pu accéder à une mine d'informations personnelles.

De nombreux sites web reposent sur des frameworks web qui n'ont pas été développés par l'entreprise elle-même. C'est une pratique courante, car intégrer toutes les fonctionnalités nécessaires à partir de zéro représenterait une tâche trop colossale. Cependant, dépendre fortement d'un framework peut vous exposer à des vulnérabilités. Ne devenez pas le prochain Equifax.

Comment se protéger contre les composants vulnérables

Il n'existe pas de solution miracle pour se protéger contre l'utilisation de composants vulnérables. Cependant, vous pouvez mettre en place des politiques et des contrôles pour atténuer le risque que ces composants ne soient utilisés pour compromettre vos systèmes.

Vous devez savoir quels composants et quelle version de chaque composant vous utilisez pour construire vos applications. Des outils de gestion des dépendances tels que Dependency Check de l'OWASP vous aident à mieux cerner les dépendances que vous utilisez. Dependency Check vous indiquera également si l'un de ces composants présente une vulnérabilité divulguée publiquement.

Une méthodologie de gestion des correctifs est également essentielle. Lorsque des vulnérabilités sont découvertes, mettez en place un système permettant de télécharger, tester et déployer les correctifs en production de manière fluide. Maintenir vos logiciels à jour permet d'éviter que des vulnérabilités vieilles de plusieurs mois ne soient exploitées par des attaquants.

Enfin, mettez en place des politiques régissant l'utilisation de composants open source et tiers. Les développeurs n'aiment pas la bureaucratie, ce qui est compréhensible. Cependant, tout code non produit par votre organisation doit faire l'objet d'une vérification. Sans être lourde, cette procédure est indispensable pour éviter l'usage de composants inconnus. À minima, un inventaire à jour des composants utilisés doit être tenu.

Ne vous faites pas piéger par les composants tiers

Les composants présenteront toujours des vulnérabilités. Vos applications métier en utiliseront, qu'ils proviennent d'un fournisseur ou d'une bibliothèque open source. Cela ne signifie pas pour autant que votre organisation doit être exposée aux attaques.

Bien que les attaquants soient informés des vulnérabilités en même temps que vous, les correctifs sont généralement publiés simultanément aux annonces publiques. Informez-vous donc sur les composants utilisés par vos applications. Identifiez les failles et maintenez vos composants à jour !

Prêt à découvrir (et neutraliser) des composants vulnérables ? Rendez-vous dans l'arène pour engager le combat : [Commencer ici]