Qu'est-ce que l'OWASP ? Introduction aux 10 principales vulnérabilités et risques de l'OWASP

L' OWASP Top 10 est une liste largement reconnue des risques de sécurité des applications Web les plus critiques. La liste sert de guide aux développeurs, aux professionnels de la sécurité et aux organisations pour hiérarchiser leurs efforts d’identification et d’atténuation des risques critiques de sécurité des applications Web. 

La présence d’un risque dans la liste OWASP Top 10 n’indique pas nécessairement sa prévalence ou sa gravité dans toutes les applications Web, et le Top Ten n’est pas classé dans un ordre spécifique ni par priorité.  

Les 10 principaux risques de sécurité des applications Web de l'OWASP pour 2021 sont :

1. Contrôles d'accès cassés. Cette vulnérabilité survient lorsque l’application insuffisante des contrôles d’accès et des autorisations permet aux attaquants d’accéder à des fonctionnalités ou des données non autorisées. Cela peut être dû à des références d'objet directes (IDOR) non sécurisées, qui peuvent survenir lorsqu'une application ne parvient pas à valider ou à autoriser une entrée utilisateur utilisée comme référence directe à un objet interne. Cela peut également se produire en raison de l'absence de contrôles d'accès au niveau des fonctions, lorsque l'application valide uniquement les contrôles d'accès au stade initial d'authentification ou d'autorisation, mais n'applique pas systématiquement ces contrôles dans l'ensemble des fonctions ou des opérations de l'application. Un pare-feu d’application Web (WAF) peut aider à se protéger contre ces attaques en surveillant et en appliquant des contrôles d’accès pour empêcher l’accès non autorisé aux objets ou ressources sensibles.

2. Échecs cryptographiques. Ce risque survient en raison d’une protection inadéquate des données sensibles pendant le transit et au repos. Les défaillances cryptographiques peuvent entraîner des violations de données, un accès non autorisé à des informations confidentielles et le non-respect des réglementations sur la confidentialité des données, telles que le règlement général sur la protection des données de l'UE (RGPD) et les normes financières telles que les normes de sécurité des données PCI (PCI DSS). Ces échecs peuvent résulter d’un stockage cryptographique non sécurisé, du stockage de données en texte brut ou d’une gestion de clés non sécurisée. Le risque peut également provenir d’une fuite d’informations, qui peut provenir d’une génération de clés ou de nombres aléatoires faibles ou de failles dans les protocoles cryptographiques. 
3. Attaques par injection. Les failles d’injection se produisent lorsque les attaquants insèrent des données non fiables ou hostiles dans des langages de commande ou de requête, ou lorsque les données fournies par l’utilisateur ne sont pas validées, filtrées ou nettoyées par l’application, ce qui entraîne l’exécution involontaire de commandes malveillantes. Cette catégorie de risque couvre les attaques NoSQL, les commandes OS, LDAP et les injections SQL, et inclut également les scripts intersites (XSS) , dans lesquels les attaquants injectent des scripts malveillants côté client, tels que JavaScript, dans les pages Web consultées par d'autres utilisateurs. Cela peut entraîner le vol d’informations sensibles, telles que les identifiants de connexion, les données personnelles ou les cookies de session. Un WAF peut aider à détecter et à bloquer les tentatives d'injection de code malveillant en inspectant et en filtrant les requêtes entrantes, y compris les XSS réfléchies (non persistantes), stockées (persistantes) et basées sur un module d'objet de document (DOM), les empêchant d'atteindre l'application.
4. Conception non sécurisée. Il s’agit d’une vaste catégorie représentant différentes faiblesses, exprimées par des contrôles de sécurité manquants ou inefficaces et des défauts d’architecture. Ces failles peuvent survenir lorsqu’une application est conçue pour s’appuyer sur des processus intrinsèquement non sécurisés, ou lorsque les contrôles de sécurité nécessaires pour se défendre contre des attaques spécifiques ne sont pas mis en œuvre. Ces risques peuvent être réduits grâce à une utilisation accrue de la modélisation des menaces, de modèles de conception sécurisés et d’architectures de référence.  
5. Mauvaises configurations de sécurité. Un manque de renforcement de la sécurité dans les cadres d’applications Web, les plateformes, les serveurs ou les contrôles de sécurité peut entraîner un accès non autorisé, l’exposition d’informations sensibles ou d’autres vulnérabilités de sécurité. Les risques dus à des erreurs de configuration de sécurité peuvent également résulter d’autorisations mal configurées sur les services cloud ou de l’installation ou de l’activation de fonctionnalités inutiles telles que des ports, des services, des comptes ou des privilèges inutilisés. La mauvaise configuration des applications Web et des API constitue un risque important, car les principaux fournisseurs de cloud ont des postures de sécurité par défaut différentes et l'architecture devient de plus en plus décentralisée et distribuée sur une structure multi-cloud.    
6. Composants vulnérables et obsolètes. L’utilisation de composants obsolètes, non corrigés ou vulnérables, tels que des bibliothèques, des frameworks ou des plugins, peut exposer les applications à des failles de sécurité connues, augmentant ainsi le risque d’exploitation. Ces risques peuvent résulter de logiciels non pris en charge ou obsolètes, notamment le système d’exploitation (OS), le serveur Web/d’applications, le système de gestion de base de données (SGBD), les applications, les API et tous les composants, environnements d’exécution et bibliothèques. Ces menaces sont particulièrement dangereuses lorsque les organisations ne disposent pas de mesures opportunes et basées sur les risques pour réparer ou mettre à niveau la plateforme, les cadres et les dépendances sous-jacents d'un système, laissant le système ouvert à des jours ou des semaines d'exposition inutile à des risques connus. Les chaînes d’approvisionnement logicielles complexes et l’automatisation via les pipelines CI/CD augmentent le risque d’introduction de logiciels vulnérables dans la pile informatique. Un WAF peut servir de solution provisoire essentielle pour se prémunir contre l’exploitation des vulnérabilités.  
7. Échecs d'identification et d'authentification. Les faiblesses dans l’authentification, l’identité et la gestion des sessions peuvent permettre aux attaquants de compromettre les comptes d’utilisateurs, les mots de passe, les jetons de session ou d’exploiter une gestion de session non sécurisée. Les défaillances dans ces domaines peuvent permettre des attaques automatisées telles que le « credential stuffing » . Les vulnérabilités liées aux mots de passe sont la source la plus courante de ces risques, car de nombreuses personnes réutilisent les mots de passe ou utilisent des mots de passe par défaut, faibles ou bien connus. Les problèmes de gestion de session peuvent également conduire à des attaques liées à l'authentification, en particulier si les sessions utilisateur ou les jetons d'authentification ne sont pas correctement invalidés lors de la déconnexion ou d'une période d'inactivité. Les attaques qui contournent les contrôles d'authentification constituent un risque croissant pour les applications Web et les API, comme détaillé dans les projets OWASP Top 10, API Security Top 10 et Automated Threats.  
8. Défaillances en matière d'intégrité des logiciels et des données. Ces vulnérabilités résultent d’un code d’application et d’une infrastructure qui ne parviennent pas à protéger contre les violations d’intégrité des données et des logiciels. Cela peut se produire lorsqu'une application s'appuie sur des plugins, des bibliothèques ou des modules provenant de sources, de référentiels et de CDN non fiables. Cela peut également se produire lors de mises à jour logicielles, de modifications de données sensibles et de modifications du pipeline CI/CD qui ne sont pas validées. Les attaquants peuvent potentiellement télécharger leurs propres mises à jour pour être distribuées et exécutées sur toutes les installations. La désérialisation non sécurisée, où une application prend des données sérialisées non fiables et consomme ces données sans s'assurer qu'elles sont valides, fait également partie de cette catégorie de risque, permettant des attaques telles que l'exécution de code à distance (RCE) et l'escalade des privilèges. 
9. Journalisation de sécurité et surveillance des échecs. Une journalisation et une surveillance inadéquates peuvent entraver la détection et la réponse rapides aux incidents de sécurité, ce qui rend difficile l’identification et l’atténuation des attaques ou des activités non autorisées. Cela peut signifier que les événements vérifiables, tels que les connexions, les échecs de connexion et les transactions de grande valeur ne sont pas identifiés ou enregistrés, et que les applications ne détectent pas les attaques actives en temps réel.  
10. Falsification de requête côté serveur (SSRF). Ces vulnérabilités se produisent lorsqu'une application ne valide pas ou ne nettoie pas une URL saisie par un utilisateur avant d'extraire des données d'une ressource distante. Les attaquants peuvent utiliser ces failles pour forcer les applications à accéder à des destinations Web malveillantes même si elles sont protégées par un pare-feu ou une autre défense. Ces attaques peuvent également se produire si la ressource ciblée entretient des relations de confiance avec d’autres systèmes, tels qu’un service de métadonnées cloud ou des API back-end, permettant à un attaquant de faire des requêtes à ces services de confiance et d’extraire des informations sensibles ou d’effectuer des actions non autorisées. Pour aider à atténuer le SSRF, concevez des systèmes pour un accès avec le minimum de privilèges et utilisez un WAF pour définir explicitement les paramètres d'identifiant de ressource uniforme (URI) dans votre politique de sécurité et autoriser/interdire les hôtes qui peuvent y accéder.

Le Top 10 OWASP 2021 reflète certaines nouvelles catégories et changements de nom par rapport au Top 10 OWASP 2017. Ces modifications incluent l’intégration des entités externes XML de menace de risque 2017 (XXE) dans la catégorie Mauvaise configuration de sécurité 2021 et l’ajout de Cross-Site Scripting (XSS) 2017 à la catégorie Injection 2021. Le risque de désérialisation non sécurisée de 2017 fait désormais partie de la catégorie Défaillances d'intégrité des logiciels et des données de 2021.