Pour gérer vos consentements :

Top 10 OWASP : quelles vulnérabilités surveiller sur les web apps ?

Prière de ne pas confondre erreur de conception et erreur d’implémentation. L’OWASP fait passer le message à l’heure d’actualiser son Top 10.

L’édition précédente de ce classement remontait à 2017. De l’une à l’autre, la thématique n’a pas changé. Il s’agit toujours de lister les principaux risques de sécurité sur les applications web. La nomenclature, en revanche, a évolué. Entre autres pour inclure les fameuses erreurs de conception comme une catégorie à part entière.

Cette catégorie fait son entrée au quatrième rang du Top 10. Parmi ses vulnérabilités les plus emblématiques, il y a :

  • Déclenchement de message d’erreur contenant des informations sensibles (CWE-209)
  • Violation de limite de confiance (CWE-501)
  • Protection insuffisante d’identifiants (CWE-522)

Tête de liste en 2017, la catégorie « injection » glisse en troisième position. Principales classes de vulnérabilités : le XSS (CWE-79), l’injection SQL (CWE-89) et le manipulation de noms ou de chemins de fichiers (CWE-73).

Le contrôle d’accès, des web apps

Troisième en 2017, la catégorie des problèmes cryptographiques (anciennement « exposition de données »est désormais deuxième. Les vulnérabilités qu’elle regroupe consistent principalement en :

  • Transmission de données en clair
  • Usage d’algorithmes, de protocoles ou de fonctions de hachage à risque
  • Clés de chiffrement faibles, réutilisées ou mal gérées (rotation notamment)
  • Randomisation inappropriée
  • Utilisation d’un mot de passe en tant que clé sans fonction de dérivation

Pour cette nouvelle édition, la palme revient à la catégorie « contrôle d’accès », cinquième en 2017. Elle est plus présente que toute autre catégorie dans les web apps que l’OWASP a testées. Des 34 CWE qui lui sont associées, il y a notamment l’exposition d’informations sensibles à un non autorisé (CWE-200) et par envoi de données (CWE-201). Mais la surface d’attaque potentielle comprend aussi, entre autres :

  • Violation du principe de moindre privilège ou de blocage par défaut
  • Contournement de vérifications par changement de l’URL, de l’état de l’application, de sa page HTML ou de requêtes API
  • Manipulation de métadonnées (jetons d’authentification, cookies, champs cachés…)
  • Navigation forcée vers des pages à privilèges
  • Accès à un compte en fournissant son identifiant
(cliquer sur l’image pour l’agrandir)

Illustration principale © Quardia Inc. – Adobe Stock

Recent Posts

Quand le candidat IT idéal n’est pas celui que vous croyez

L'usage de "deepfakes" et d'informations d'identification personnelle volées progresse chez les candidats et usurpateurs patentés…

4 heures ago

Roaming : le menu dans l’Union européenne jusqu’en 2032

La nouvelle régulation sur l'itinérance mobile dans l'UE est entrée en application. Quelles en sont…

4 heures ago

Vers une régulation européenne des cryptoactifs : quelles bases technologiques ?

Les colégislateurs de l'UE ont trouvé un accord provisoire sur trois propositions de règlements touchant…

7 heures ago

Google Cloud ouvre sa région France

Google Cloud dispose d'une région France lancée commercialement fin juin. Une étape indispensable pour lutter…

9 heures ago

Pourquoi FedEx bascule des grands systèmes au cloud

Le transporteur américain FedEx va fermer les 20% restants de ses mainframes dans les deux…

10 heures ago

Cloud de confiance : quelle feuille de route pour S3NS, la coentreprise Google-Thales ?

Sous l'ombrelle S3NS, Google et Thales esquissent une première offre en attendant celle qui visera…

1 jour ago