Le classement 2021 de l'OWASP : un nouveau plan de bataille et un ennemi principal

Dans ce monde de plus en plus chaotique, il y a toujours eu quelques constantes sur lesquelles les gens pouvaient compter : le soleil se lèvera le matin et se couchera le soir, Mario sera toujours plus cool que Sonic le hérisson, et les attaques par injection occuperont toujours la première place de la liste de l'Open Web Application Security Project (OWASP) des dix vulnérabilités les plus courantes et dangereuses que les attaquants exploitent activement.

Eh bien, le soleil se lèvera demain et Mario a toujours une longueur d'avance sur Sonic, mais les attaques par injection ont perdu leur première place dans la tristement célèbre liste OWASP, mise à jour en 2021. Faisant partie des formes d'attaques les plus anciennes, les vulnérabilités par injection existent depuis presque aussi longtemps que les réseaux informatiques. Cette vulnérabilité globale est responsable d'un large éventail d'attaques, allant des injections SQL traditionnelles aux exploits lancés contre les bibliothèques OGNL (Object Graph Navigation Libraries). Elle inclut même des assauts directs contre les serveurs utilisant des techniques d'injection de commandes système. La polyvalence des vulnérabilités par injection pour les attaquants – sans parler du nombre d'endroits potentiellement vulnérables – a maintenu cette catégorie en tête de liste pendant de nombreuses années.

Mais le roi de l'injection est tombé. Vive le roi.

Cela signifie-t-il que nous avons enfin résolu le problème des vulnérabilités par injection ? Loin de là. Elle n'est pas tombée bien loin de sa position d'ennemi numéro un de la sécurité, se classant désormais troisième sur la liste OWASP. Ce serait une erreur de sous-estimer les dangers persistants des attaques par injection, mais le fait qu'une autre catégorie de vulnérabilité ait réussi à la surpasser est significatif, car cela montre à quel point le nouveau leader de l'OWASP est répandu et pourquoi les développeurs doivent y prêter une attention particulière à l'avenir.

Le plus intéressant, cependant, est peut-être que l'OWASP Top 10 2021 reflète une refonte importante, avec l'apparition de toutes nouvelles catégories : conception non sécurisée, défaillances de l'intégrité des logiciels et des données, et une entrée basée sur les résultats d'une enquête communautaire : la falsification de requête côté serveur (SSRF). Ces éléments soulignent une attention croissante portée aux vulnérabilités architecturales, dépassant le cadre des bugs de surface pour établir une nouvelle référence en matière de sécurité logicielle.

Le contrôle d'accès défaillant prend la couronne (et révèle une tendance)

Le contrôle d'accès défaillant a bondi de la cinquième à la première place de la liste des dix principales vulnérabilités de l'OWASP. Tout comme pour l'injection et les nouvelles entrées telles que la conception non sécurisée, la vulnérabilité liée au contrôle d'accès englobe un large éventail de failles de codage, ce qui ajoute à sa popularité douteuse, car elles permettent collectivement de causer des dommages sur plusieurs fronts. Cette catégorie inclut toute situation où les politiques de contrôle d'accès peuvent être violées, permettant aux utilisateurs d'agir au-delà des autorisations qui leur sont accordées.

Parmi les exemples de contrôle d'accès défaillant cités par l'OWASP pour justifier la montée en puissance de cette famille de vulnérabilités, on trouve celles qui permettent aux attaquants de modifier une URL, l'état interne d'une application ou une partie d'une page HTML. Elles peuvent également permettre aux utilisateurs de modifier leur clé d'accès principale afin qu'une application, un site ou une API les prenne pour quelqu'un d'autre, comme un administrateur disposant de privilèges élevés. Cela inclut même les vulnérabilités où les attaquants ne sont pas empêchés de modifier les métadonnées, leur permettant de changer des éléments tels que les jetons web JSON, les cookies ou les jetons de contrôle d'accès.

Une fois exploitée, cette famille de vulnérabilités peut être utilisée par les attaquants pour contourner les autorisations de fichiers ou d'objets, leur permettant de voler des données ou même d'effectuer des fonctions destructrices au niveau administrateur, comme la suppression de bases de données. Cela rend le contrôle d'accès défaillant extrêmement dangereux, en plus d'être de plus en plus courant.

Il est frappant – bien que peu surprenant – que les vulnérabilités liées à l'authentification et au contrôle d'accès deviennent le terrain le plus fertile pour les attaquants. Le dernier rapport d'enquête sur les violations de données de Verizon révèle que les problèmes de contrôle d'accès sont omniprésents dans presque tous les secteurs, en particulier l'informatique et la santé, et qu'un nombre impressionnant de 85 % de toutes les violations impliquent un facteur humain. Bien que le « facteur humain » couvre des incidents tels que les attaques par hameçonnage, qui ne sont pas un problème d'ingénierie, 3 % des violations impliquaient des vulnérabilités exploitables qui, selon le rapport, étaient principalement des vulnérabilités anciennes et dues à des erreurs humaines, comme une mauvaise configuration de la sécurité.

Alors que ces bugs de sécurité obsolètes comme XSS et l'injection SQL continuent de piéger les développeurs, il devient de plus en plus évident que la conception fondamentale de la sécurité fait défaut, laissant place à des vulnérabilités architecturales qui peuvent être très avantageuses pour un acteur malveillant, surtout si elles ne sont pas corrigées après la divulgation publique de la faille de sécurité dans une version particulière d'une application.

Le problème est que peu d'ingénieurs reçoivent une formation et un développement des compétences qui vont au-delà des bases, et encore moins voient leurs connaissances et leur application pratique étendues au-delà des bugs localisés au niveau du code, qui sont généralement introduits par les développeurs eux-mêmes.

Prévenir les bugs que les robots trouvent rarement

La famille nouvellement regroupée des vulnérabilités liées au contrôle d'accès défaillant est assez diversifiée. Vous pouvez trouver des exemples spécifiques de contrôles d'accès défaillants et comment les arrêter sur notre chaîne YouTube et notre blog.

Cependant, je pense qu'il est important de saluer ce nouveau Top 10 de l'OWASP ; il est en effet plus varié, englobant un éventail plus large de vecteurs d'attaque, y compris ceux que les scanners ne détecteront pas nécessairement. Pour chaque faiblesse trouvée au niveau du code, des failles architecturales plus complexes passeront inaperçues pour la plupart des piles technologiques de sécurité, quel que soit le nombre de boucliers et d'armes automatisés dans l'arsenal. Bien que la majeure partie de la liste du Top 10 de l'OWASP soit toujours compilée sur la base de données de scan, les nouvelles entrées couvrant la conception non sécurisée et les défaillances de l'intégrité des données – entre autres – montrent que les horizons de formation des développeurs doivent s'élargir rapidement pour accomplir ce que les robots ne peuvent pas faire.

En termes simples, les scanners de sécurité ne font pas de bons modélisateurs de menaces, mais une équipe de développeurs compétents en sécurité peut aider immensément l'équipe AppSec en développant leur QI en sécurité conformément aux meilleures pratiques, ainsi qu'aux besoins de l'entreprise. Cela doit être pris en compte dans un bon programme de sécurité, en comprenant que si le Top 10 de l'OWASP est une excellente base, le paysage des menaces évolue si rapidement (sans parler des exigences des objectifs de développement internes) qu'il doit y avoir un plan pour approfondir et spécifier la montée en compétences des développeurs en matière de sécurité. Ne pas le faire entraînera inévitablement des occasions manquées de remédier aux problèmes tôt et entravera une approche holistique réussie de la cybersécurité préventive axée sur l'humain.

‍

Nous sommes prêts pour l'OWASP Top 10 2021, et ce n'est qu'un début ! Lancez vos développeurs sur un parcours de compétences en sécurité renforcé dès aujourd'hui.