OWASP Top 10 2025 : Défaillances de la chaîne d'approvisionnement logicielle

Avec l'arrivée très attendue du classement OWASP Top 10 2025, les entreprises doivent redoubler de vigilance face à de nouvelles menaces, dont l'une se hisse en haut de la liste. Les défaillances de la chaîne d'approvisionnement logicielle, qui font leur entrée en tant que nouvelle catégorie sans être pour autant inédites, occupent la 3e place de ce classement quadriennal de l'Open Web Application Security Project sur les risques les plus graves pour la sécurité des applications web. C'est un risque que les entreprises doivent prendre très au sérieux, si ce n'est déjà fait.

Les défaillances de la chaîne d'approvisionnement logicielle sont issues d'une catégorie du précédent classement de 2021, Composants vulnérables et obsolètes, et englobent désormais un éventail plus large de compromissions au sein de l'écosystème logiciel, des dépendances aux systèmes de build et à l'infrastructure de distribution. Leur apparition dans ce classement n'est pas surprenante, compte tenu des dommages causés par des attaques notoires telles que SolarWinds en 2019, le piratage de Bybit plus tôt cette année, et la campagne en cours Shai-Hulud, un ver npm autoréplicable particulièrement agressif qui sème le chaos dans les environnements de développement exposés.

L'OWASP Top 10 est généralement cohérent, ce qui sied à une liste publiée tous les quatre ans, malgré des mises à jour intermédiaires. On observe habituellement quelques changements : l'Injection, présente depuis longtemps, passe de la 3e à la 5e place, la Conception non sécurisée recule de deux rangs pour atteindre la 6e place, tandis que la Mauvaise configuration de sécurité bondit de la 5e à la 2e place. Le Contrôle d'accès défaillant conserve la première position. L'édition 2025 comporte deux nouvelles entrées : les défaillances de la chaîne d'approvisionnement logicielle susmentionnées et la Mauvaise gestion des conditions exceptionnelles, qui fait son entrée à la 10e place. Nous examinons ici en détail cette nouvelle catégorie de vulnérabilités.

[REGARDER LA VIDÉO]

Les vulnérabilités peuvent surgir presque partout

Les défaillances de la chaîne d'approvisionnement logicielle constituent une catégorie inhabituelle : parmi les 10 entrées, c'est celle qui présente le moins d'occurrences dans les données de recherche de l'OWASP, mais elle affiche les scores d'exploitation et d'impact moyens les plus élevés parmi les cinq CWE (Common Weakness Enumerations) qu'elle contient. L'OWASP estime que cette présence limitée est due aux difficultés actuelles de détection, une situation qui pourrait s'améliorer. Quoi qu'il en soit, les répondants à l'enquête ont massivement désigné les défaillances de la chaîne d'approvisionnement comme une préoccupation majeure.

La plupart des vulnérabilités de la chaîne d'approvisionnement découlent de la nature interconnectée des activités commerciales, impliquant des partenaires en amont et en aval ainsi que des tiers. Chaque interaction implique des logiciels dont les composants (dépendances ou bibliothèques) peuvent être non protégés. Une entreprise est vulnérable si elle ne suit pas toutes les versions de ses composants (côté client, serveur ou imbriqués), ainsi que les dépendances transitives (issues d'autres bibliothèques), pour s'assurer qu'ils ne sont pas vulnérables, obsolètes ou non pris en charge. Les composants héritent généralement des privilèges de l'application ; ainsi, des composants compromis, y compris ceux provenant de tiers ou de dépôts open source, peuvent avoir un impact considérable. Des correctifs et mises à jour rapides sont essentiels : même des cycles de maintenance mensuels ou trimestriels peuvent laisser une entreprise exposée pendant des jours, voire des mois.

De même, l'absence de processus de gestion des changements dans votre chaîne d'approvisionnement peut créer des vulnérabilités si vous ne suivez pas les environnements de développement intégrés (IDE) ou les modifications apportées à votre dépôt de code, à vos dépôts d'images et de bibliothèques, ou à d'autres maillons de la chaîne. Une organisation doit renforcer sa chaîne d'approvisionnement en appliquant des politiques de contrôle d'accès et de moindre privilège, en veillant à ce qu'aucun individu ne puisse créer et déployer du code en production sans supervision, et à ce que personne ne puisse télécharger des composants provenant de sources non fiables.

Les attaques contre la chaîne d'approvisionnement peuvent prendre de nombreuses formes. La célèbre attaque SolarWinds a débuté lorsque des attaquants russes ont injecté un logiciel malveillant dans une mise à jour du logiciel de gestion réseau populaire de l'entreprise. Elle a touché environ 18 000 clients. Bien que le nombre d'entreprises réellement impactées ait été plus proche de 100, cette liste incluait de grandes entreprises et des agences gouvernementales. Le piratage de Bybit, estimé à 1,5 milliard de dollars et attribué à la Corée du Nord, impliquait des applications de cryptomonnaie compromises. La récente attaque Glass Worm exploitait un code invisible et autoréplicable qui a infecté l'Open VSX Marketplace.

Prévenir les exploits de la chaîne d'approvisionnement

Comme les attaques contre la chaîne d'approvisionnement impliquent l'interdépendance des systèmes, leur défense nécessite une approche globale. L'OWASP propose des conseils pour prévenir ces attaques, notamment la mise en place de processus de gestion des correctifs pour :

• Connaître votre nomenclature logicielle (SBOM) pour tous vos logiciels et la gérer de manière centralisée. Il est préférable de générer les SBOM lors de la compilation plutôt qu'ultérieurement, en utilisant des formats standard tels que SPDX ou CycloneDX, et de publier au moins un SBOM lisible par machine par version.
• Suivre toutes vos dépendances, y compris les dépendances transitives, en supprimant les dépendances inutilisées ainsi que les fonctionnalités, composants, fichiers et documentations superflus.
• Inventorier en continu les composants côté client et côté serveur ainsi que leurs dépendances à l'aide d'outils tels que OWASP Dependency Check ou retire.js.
• Rester informé des vulnérabilités en surveillant en permanence des sources telles que le site Common Vulnerabilities and Exposures (CVE) et la National Vulnerability Database (NVD), et vous abonner aux alertes e-mail concernant les vulnérabilités liées aux composants que vous utilisez.
• Utiliser uniquement des composants provenant de sources fiables via des liens sécurisés. Un fournisseur digne de confiance sera, par exemple, disposé à collaborer avec un chercheur pour divulguer une CVE découverte dans l'un de ses composants.
• Choisir délibérément la version d'une dépendance à utiliser et ne mettre à jour qu'en cas de besoin. Privilégier les bibliothèques tierces dont les vulnérabilités sont publiées dans des sources reconnues comme la NVD.
• Surveiller les bibliothèques et composants non maintenus ou non pris en charge. Si le correctif n'est pas possible, envisagez de déployer un correctif virtuel pour surveiller, détecter ou protéger contre le problème découvert.
• Mettre régulièrement à jour les outils de développement.
• Traiter les composants de votre pipeline CI/CD comme faisant partie intégrante de ce processus, en les renforçant, en les surveillant et en documentant les changements.

La gestion des changements ou un processus de suivi doit également s'appliquer à vos paramètres CI/CD, dépôts de code, environnements de test (sandboxes), environnements de développement intégrés (IDE), outils SBOM, artefacts créés, systèmes de journalisation et logs, intégrations tierces telles que le SaaS, dépôts d'artefacts et votre registre de conteneurs. Vous devez également renforcer les systèmes, des postes de travail des développeurs au pipeline CI/CD. Veillez également à activer l'authentification multifacteur tout en appliquant des politiques strictes de gestion des identités et des accès.

La protection contre les défaillances de la chaîne d'approvisionnement logicielle est une entreprise complexe et continue dans notre monde hautement interconnecté. Les organisations doivent déployer des mesures défensives robustes sur l'ensemble du cycle de vie de leurs applications et composants afin de se prémunir contre cette menace moderne en évolution rapide.

Note aux utilisateurs de SCW Trust Score™ :

Alors que nous mettons à jour le contenu de notre plateforme d'apprentissage pour l'aligner sur la norme OWASP Top 10 2025, vous pourriez constater des ajustements mineurs du Trust Score de vos développeurs Full Stack. Veuillez contacter votre responsable Customer Success pour toute question ou assistance.