Sécurité Web: Failles majeures et outils d’audit

A01:2025 – Contrôle d’accès défaillant

Cette vulnérabilité permet à un utilisateur d’accéder à des ressources normalement restreintes, ou de forcer le serveur à exécuter des actions non autorisées, y compris via des requêtes vers des sites externes (Server-Side Request Forgery, SSRF).

Exemples :

• Accéder à une interface d’administration simplement en modifiant l’URL (https://exemple.com/utilisateur/profil → https://exemple.com/admin/dashboard. Si le serveur ne vérifie pas correctement les autorisations, cette requête peut donner accès à des fonctionnalités critiques comme la gestion des comptes utilisateurs, la suppression de données ou la modification des rôles.
• Accéder directement à des ressources via des identifiants numériques : si un utilisateur authentifié à l’ID 123 accède à https://exemple.com/commandes/456 et que le serveur ne vérifie pas que la commande 456 lui appartient, il pourrait consulter ou même modifier les commandes d’autres utilisateurs.
• Exploitation de SSRF par un attaquant des mécanismes du serveur pour envoyer des requêtes vers des sites contrôlés par lui, scanner des réseaux internes ou lancer des attaques sur d’autres cibles, en masquant ses traces.

Mesures de prévention :

• Implémenter des middlewares de vérification des rôles et valider systématiquement les autorisations côté serveur (jamais uniquement côté client)
• Utiliser un filtrage par ID sécurisé en vérifiant que l’ID demandé correspond à celui de l’utilisateur authentifié
• Utiliser une liste blanche d’URLs autorisées, et ne jamais faire confiance à une URL fournie par l’utilisateur sans validation stricte et approfondie

A02:2025 – Mauvaise configuration de sécurité

Les configurations par défaut ou mal sécurisées représentent une vulnérabilité majeure.

Exemples:

• Ports de développement ouverts en production peut exposer des interfaces de débogage non protégées,
• Fichier .env contenant des clés API ou des identifiants de base de données exposé sur sur un dépôt public
• Configurations d’en-têtes HTTP insuffisantes

Mesures de prévention :

• Séparer strictement les environnements (développement, test, production).
• Utiliser un .gitignore strict pour éviter de versionner les fichiers sensible
• Configurer correctement les en-têtes de sécurité (Content-Security-Policy, X-Frame-Options, etc.): par exemple avec Helmet pour Express
• Automatiser la vérification des configurations via des outils de scanning et des audits réguliers

A03:2025 – Chaîne logicielle non sécurisée

Cette vulnérabilité résulte de failles ou de mauvaises pratiques dans l’ensemble de la chaîne logicielle, depuis les dépendances jusqu’aux systèmes de build et de distribution.

Exemples:

• Supposer que la sécurité côté frontend suffit, ce qui permettrait à un utilisateur malveillant d’appeler directement une route d’administration cachée comme /api/admin/deleteUser via un outil comme Postman, et de supprimer des comptes ou modifier des rôles.
• Laisser des routes d’API publiques par défaut, comme /api/exportData, qui retournent l’intégralité des utilisateurs ou des rapports internes sans aucune vérification d’authentification. Un attaquant pourrait ainsi télécharger toutes les données clients d’une application e-commerce ou l’historique des commandes.
• Déployer automatiquement du code non vérifié dans un pipeline CI/CD, permettant à un développeur malintentionné ou un compte compromis d’injecter une porte dérobée dans l’application.
• Utiliser des dépendances externes obsolètes ou compromises, comme une librairie JavaScript populaire mais non patchée (ex. jQuery ou Express), qui permettrait l’exécution de scripts malveillants côté serveur ou côté client.

Mesures de prévention :

• Vérifier systématiquement l’intégrité et la provenance des dépendances et artefacts logiciels
• Mettre à jour régulièrement toutes les bibliothèques et composants utilisés (npm audit fix, Snyk, OWASP Dependency Check)
• Sécuriser les pipelines CI/CD et valider tout code avant déploiement
• Appliquer le principe du moindre privilège dans les accès aux environnements de build et de production.
• Intégrer la sécurité dès les premières phases de conception, en testant notamment les routes API et les permissions côté serveur.

A04:2025 – Défaillances cryptographiques

Cette vulnérabilité concerne les données insuffisamment protégées ou mal chiffrées, ce qui peut exposer les informations sensibles des utilisateurs ou des systèmes en cas de fuite ou d’attaque.

Exemples:

• Stockage des mots de passe des utilisateurs en clair dans une base de données. Si la base est compromise, un attaquant obtient directement tous les identifiants.
• Transmission des numéros de carte bancaire ou des informations personnelles sans utiliser HTTPS. Un attaquant sur le même réseau (Wi-Fi public) peut intercepter ces données via une attaque de type man-in-the-middle.
• Tokens JWT contenant des informations sensibles (email, rôle, ID utilisateur) et signés avec une clé faible ou non chiffrés

Mesures de prévention:

• Utiliser des algorithmes de chiffrement robustes, comme bcrypt pour le hachage des mots de passe ou AES-256 pour protéger les données sensibles
• Forcer l’usage de TLS/HTTPS pour toutes les communications
• Limiter au strict nécessaire les informations contenues dans les tokens JWT et les signer avec des clés solides
• Adopter une politique de sécurité par défaut : ne collecter et ne conserver que les données indispensables et chiffrer de bout en bout dès que possible

A05:2025 – Injection

Les failles d’injection permettent d’exécuter des commandes malveillantes via les entrées utilisateur.

Exemples:

• Injection SQL, où une requête comme ci-dessous peut donner accès à l’ensemble des utilisateurs si les paramètres ne sont pas correctement protégés

SELECT * FROM users WHERE email = 'admin' OR '1'='1'

• Faille XSS (Cross-Site Scripting): consiste à injecter du code JavaScript malveillant dans une zone de saisie, qui sera ensuite interprété par le navigateur des visiteurs. Par exemple, si un champ de commentaire affiche le texte soumis sans aucun filtrage, un attaquant pourrait y insérer :

<script>alert('XSS attaque !');</script>

Ce script s’exécutera alors dans le navigateur des visiteurs qui consultent la page, ce qui peut permettre de voler des cookies, usurper une session, ou modifier la page affichée.

Mesures de prévention:

• Utiliser des requêtes préparées ou des ORM
  (Sequelize, Prisma),
• Valider strictement les entrées avec des bibliothèques comme JOI ou des regex, et échapper systématiquement les caractères spéciaux.

A06:2025 – Conception non sécurisée

Cette vulnérabilité résulte de mauvais choix architecturaux ou de conception dès le développement de l’application, exposant les fonctionnalités et données critiques aux utilisateurs malveillants.

Exemples :

• Accès non autorisé à des routes sensibles : par exemple, /api/admin/deleteUser ou /api/commandes/456 même sans les droits appropriés
• Modifications des données d’autres comptes ou accès à des informations réservées
• Accès à certaines fonctionnalités critiques depuis l’interface utilisateur alors qu’elles devraient rester côté serveur
• Utilisation d’un champ texte pour injecter des données inattendues, provoquer des erreurs ou altérer le comportement de l’application

Mesures de prévention :

• Concevoir la logique métier de manière sécurisée dès les premières phases du projet, avec des tests de sécurité et des audits de code réguliers
• Vérifier systématiquement les autorisations côté serveur pour chaque action sensible
• Appliquer le principe du moindre privilège à tous les rôles et composants
• Implémenter une validation stricte et exhaustive des entrées utilisateur

A07:2025 – Défaillances d’authentification

Les failles dans les systèmes d’authentification peuvent permettre des attaques par force brute ou l’usurpation d’identité.

Exemples:

• Absence de limitation de tentatives : un attaquant peut tester automatiquement des mots de passe jusqu’à trouver la bonne combinaison sur un compte administrateur.
• Stockage insuffisamment sécurisé : mots de passe en clair ou hachés sans sel, permettant à un attaquant d’exploiter une fuite de base de données.
• Gestion de session faible : jetons JWT sans expiration ou réutilisables indéfiniment.

Mesures de prévention:

• Utiliser des jetons JWT avec date d’expiration et renouvellement sécurisé
• Implémenter un hachage des mots de passe robuste des mots de passe (bcrypt, Argon2) avec sel
• Verrouiller temporairement les comptes après plusieurs tentatives échouées
• Encourager l’usage de MFA (authentification à facteurs multiples) pour les comptes sensibles

A08:2025 – Défaillances d’intégrité des logiciels et des données

Cette vulnérabilité survient lorsque l’application exécute du code non vérifié ou non fiable.

Exemples:

• Charger un script JavaScript depuis un CDN sans vérifier son intégrité. Un pirate qui compromet ce CDN pourrait injecter un code malveillant, comme un script qui vole les données des utilisateurs ou détourne les sessions.
• Déployer automatiquement le code dans un pipeline CI/CDsans valider sérieusement les commits. Cela peut permettre à un attaquant ayant compromis un compte d’ajouter une porte dérobée (backdoor) dans l’application, offrant un accès secret et permanent, ou encore d’introduire des bugs critiques qui compromettent la sécurité ou la stabilité.

Mesures de prévention:

• Implémenter la signature de code (Subresource Integrity) pour garantir que les scripts externes n’ont pas été modifiés,
• Intégrer des tests automatisés rigoureux dans le pipeline CI/CD
• Vérifier systématiquement la provenance et la fiabilité de toutes les dépendances

A09:2025 – Défaillances de
journalisation et de surveillance

L’absence de logs ou une mauvaise gestion de ceux-ci revient à fermer les yeux sur ce qui se passe dans une application.

Exemples:

• Sans enregistrer les tentatives de connexion échouées, on ne voit pas qu’un attaquant essaie en boucle de deviner un mot de passe.
• Si les logs ne sont pas stockées de manière sécurisée, un pirate qui a pénétré le système peut les effacer pour cacher toute trace de son intrusion, rendant toute enquête quasiment impossible.

Mesures de prévention:

• Mettre en place des journaux structurés conservés de manière sécurisée
• Configurer des alertes en cas de comportement anormal
• Utiliser des outils comme Datadog pour centraliser et analyser les logs