Qu’est-ce que l’OWASP ? Présentation du top 10 des vulnérabilités et des risques de l’OWASP

Le Top 10 de l’OWASP est une liste largement reconnue qui recense les risques de sécurité les plus critiques pour les applications web. Cette liste sert de guide aux développeurs, aux professionnels de la sécurité et aux entreprises qui cherchent à hiérarchiser leurs efforts pour identifier et atténuer les risques critiques pour la sécurité des applications web.

La présence d’un risque sur la liste Top 10 de l’OWASP n’indique pas nécessairement sa prévalence ou sa gravité dans toutes les applications web, et le Top 10 n’est pas classé dans un ordre particulier ou par priorité.  

Pour 2021, le Top 10 de l’OWASP pour les risques de sécurité des applications web est le suivant :

1. Contrôles d’accès défaillants. Cette vulnérabilité se produit lorsque l’application de contrôles d’accès et d’autorisations insuffisants permet aux attaquants d’accéder à des fonctionnalités ou à des données non autorisées. Cela peut être causé par des références d’objet directes non sécurisées (IDOR), qui peuvent survenir lorsqu’une application ne parvient pas à valider ou à autoriser une entrée utilisateur utilisée comme référence directe à un objet interne. Cela peut également se produire en raison de contrôles d’accès manquants au niveau des fonctions, lorsque l’application ne valide les contrôles d’accès qu’à l’étape d’authentification ou d’autorisation initiale, mais n’applique pas systématiquement ces contrôles tout au long des fonctions ou des opérations de l’application. Un pare-feu d’application web (WAF) peut protéger contre ces attaques en surveillant et en appliquant des contrôles d’accès qui empêchent tout accès non autorisé à des objets ou des ressources sensibles.

2. Défaillances cryptographiques. Ce risque est dû à une protection insuffisante des données sensibles pendant le transit et au repos. Les défaillances cryptographiques peuvent entraîner des violations de données, un accès non autorisé à des informations confidentielles et le non-respect des réglementations en matière de confidentialité des données, telles que le règlement général sur la protection des données (RGPD) de l’UE et des normes financières telles que les normes de sécurité des données PCI (PCI DSS). Ces défaillances peuvent résulter d’un stockage cryptographique non sécurisé, d’un stockage de données en texte brut ou d’une gestion de clés non sécurisée. Le risque peut également provenir de fuites d’informations, qui peuvent provenir de la génération de clés faibles ou de nombres aléatoires, ou encore de failles dans les protocoles cryptographiques. 
3. Attaques par injection. Les failles d’injection se produisent lorsque des attaquants insèrent des données non fiables ou hostiles dans des langages de commande ou de requête, ou lorsque les données fournies par l’utilisateur ne sont pas validées, filtrées ou désinfectées par l’application, ce qui entraîne l’exécution involontaire de commandes malveillantes. Cette catégorie de risque couvre les attaques par injection NoSQL, de commandes du système d’exploitation, LDAP et SQL, ainsi que le cross-site scripting (XSS), dans lequel les attaquants injectent des scripts malveillants côté client, tels que JavaScript, dans des pages web consultées par d’autres utilisateurs. Cela peut entraîner le vol d’informations sensibles comme les identifiants de connexion, les données personnelles ou les cookies de session. Un WAF peut aider à détecter et à bloquer les tentatives d’injection de code malveillant en inspectant et en filtrant les demandes entrantes,  y compris les XSS réfléchis (non persistants), stockés (persistants) et basés sur un modèle d’objets de document (DOM), les empêchant d’atteindre l’application.
4. Conception non sécurisée. Il s’agit d’une large catégorie représentant différentes faiblesses, exprimées comme des contrôles de sécurité manquants ou inefficaces, ou des failles architecturales. Ces failles peuvent se produire lorsqu’une application est conçue pour s’appuyer sur des processus intrinsèquement non sécurisés ou lorsque les contrôles de sécurité nécessaires pour se défendre contre des attaques spécifiques ne sont pas mis en œuvre. Ces risques peuvent être réduits avec l’utilisation accrue de la modélisation des menaces, de modèles de conception sécurisés et d’architectures de référence.  
5. Mauvaises configurations de sécurité. Un manque de renforcement de la sécurité dans les cadres applicatifs web, les plateformes, les serveurs ou les contrôles de sécurité peut entraîner un accès non autorisé, l’exposition d’informations sensibles ou d’autres vulnérabilités de sécurité. Les risques liés à des erreurs de configuration de la sécurité peuvent également provenir d’autorisations mal configurées sur les services cloud ou de l’installation ou de l’activation de fonctionnalités inutiles telles que des ports, services, comptes ou privilèges inutilisés. Une mauvaise configuration des applications web et des API constitue un risque important, car les principaux fournisseurs de cloud ont des postures de sécurité par défaut variables et l’architecture est de plus en plus décentralisée et distribuée dans un tissu multi-cloud.    
6. Composants vulnérables et obsolètes. L’utilisation de composants obsolètes, non corrigés ou vulnérables, tels que des bibliothèques, des frameworks ou des plug-ins, peut exposer les applications à des failles de sécurité connues, ce qui augmente le risque d’exploitation de vulnérabilité. Ces risques peuvent résulter de logiciels non pris en charge ou obsolètes, comme le système d’exploitation (SE), le serveur web/d’applications, le système de gestion de base de données (DBMS), les applications, les API et tous les composants, environnements d’exécution et bibliothèques. Ces menaces sont particulièrement dangereuses lorsque les entreprises ne disposent pas de mesures opportunes et basées sur les risques pour réparer ou mettre à niveau la plateforme, les cadres et les dépendances sous-jacents d’un système, laissant le système exposé inutilement à des risques connus pendant des jours ou des semaines. Les chaînes d’approvisionnement logicielles complexes et l’automatisation via des pipelines CI/CD augmentent le risque d’introduire des logiciels vulnérables dans la pile informatique. Un WAF peut servir de palliatif critique pour se prémunir contre l’exploitation de la vulnérabilité.  
7. Identification et authentification de mauvaise qualité. Les faiblesses dans la gestion de l’authentification, de l’identité et des sessions peuvent permettre aux attaquants de compromettre les comptes d’utilisateurs, les mots de passe et les jetons de session, ou d’exploiter une gestion de sessions non sécurisée. Les défaillances dans ces domaines peuvent rendre vulnérable à des attaques automatisées telles que le credential stuffing. Les vulnérabilités liées aux mots de passe sont la source la plus courante de ces risques, car de nombreuses personnes réutilisent des mots de passe ou utilisent des mots de passe par défaut, faibles ou bien connus. Les problèmes de gestion des sessions peuvent également entraîner des attaques liées à l’authentification, en particulier si les sessions utilisateur ou les jetons d’authentification ne sont pas correctement invalidés à la déconnexion ou après une période d’inactivité. Les attaques qui contournent les contrôles d’authentification constituent un risque croissant pour les applications web et les API, comme détaillé dans les projets Top 10, API Security Top 10 et Automated Threats de l’OWASP.
8. Manque d'intégrité des données et du logiciel. Ces vulnérabilités résultent d’un code d’application et d’une infrastructure qui ne protègent pas contre les violations d’intégrité des données et des logiciels. Cela peut se produire lorsqu’une application repose sur des plug-ins, des bibliothèques ou des modules provenant de sources, de référentiels et de CDN non fiables. Cela peut également se produire lors de mises à jour logicielles, de modifications de données sensibles et de changements de pipeline CI/CD qui ne sont pas validés. Les attaquants peuvent potentiellement transmettre leurs propres mises à jour pour les distribuer et les exécuter sur toutes les installations. La désérialisation non sécurisée, lorsqu’une application prend des données sérialisées non fiables et consomme ces données sans s’assurer qu’elles soient valides, fait également partie de cette catégorie de risque, et rend possible des attaques telles que l’exécution de code à distance et l’élévation des privilèges.
9. Carence des systèmes de contrôle et de journalisation. Une journalisation et une surveillance inadéquates peuvent entraver la détection et une réponse rapides aux incidents de sécurité, ce qui rend difficile l’identification et l’atténuation des attaques ou des activités non autorisées. Cela peut vouloir dire que les événements vérifiables, tels que les connexions, les échecs de connexion et les transactions de valeur, ne sont pas identifiés ou enregistrés, et que les applications ne détectent pas les attaques actives en temps réel.
10. Falsification de requête coté serveur (SSRF). Ces vulnérabilités se produisent lorsqu’une application ne valide pas ou n’assainit pas une saisie d’URL par un utilisateur avant d’extraire des données d’une ressource distante. Les attaquants peuvent utiliser ces failles pour forcer les applications à accéder à des destinations web malveillantes, même si elles sont protégées par un pare-feu ou une autre défense. Ces attaques peuvent également se produire si la ressource ciblée a des relations de confiance avec d’autres systèmes, tels qu’un service de métadonnées cloud ou des API backend, qui permettent à un attaquant de faire des demandes à ces services de confiance et d’extraire des informations sensibles ou d’effectuer des actions non autorisées. Pour atténuer les vulnérabilités SSRF, il est important de concevoir des systèmes avec un accès au moindre privilège et d’utiliser un WAF pour définir explicitement les paramètres d’identificateur de ressource uniforme (URI) dans la politique de sécurité et autoriser/interdire les hôtes qui peuvent y accéder.

Le Top 10 de l’OWASP de 2021 reflète quelques nouvelles catégories et changements de dénomination par rapport au Top 10 de l’OWASP de 2017. Ces changements comprennent l’intégration de la menace XML External Entities (XXE) de 2017 dans la catégorie Mauvaise configuration de la sécurité de 2021 et l’ajout de la menace Cross-Site Scripting (XSS) de 2017 à la catégorie Injection de 2021. La catégorie Désérialisation non sécurisée des risques de 2017 fait désormais partie de la catégorie Défaillances des logiciels et de l’intégrité des données de 2021.