TOP 10 des vulnérabilités dans les applications WEB
|
Rang
|
Vulnérabilité
|
Description
|
1
|
Paramètres non validés
|
Les informations transmises avec la requête ne sont pas validées
avant d’être utilisées par l’application Web.
|
2
|
Faille dans le contrôle d’accès
|
Les restrictions sur ce que les utilisateurs authentifiés ont le droit
de faire ne sont assez solides. Un attaquant peut utiliser ces failles
pour accéder aux comptes d’autres utilisateurs, voir de fichiers sensibles ou utiliser des fonctions non-autorisées.
|
3
|
Vol de session
|
Le mécanisme de maintien de la session n’est pas assez sûr :
l’attaquant qui peut compromettre une clé de session ou un cookie
peut accéder aux privilèges d’un autre utilisateur
|
4
|
Cross-Site-Scripting (XSS)
|
L’application Web peut être utilisée comme intermédiaire pour attaquer l’un de ses utilisateurs et exécuter du code à son insu
dans le contexte de l’application Web , par exemple, voler sa clé de session.
|
5
|
Buffer Overflow (BOF)
|
L’application ne contrôle pas la dimension des paramètres
reçus avant de les écrire en mémoire. Cette faille peut être
utilisée pour aller y écrire du code exécutable et modifier le comportement de l’application.
|
6
|
Injection de commandes
|
L’application utilise lors de l’accès à des commandes
externes ou au système d’exploitation des paramètres
non-validés qui peuvent être utilisés par l’attaquant pour
exécuter des commandes malicieuses.
|
7
|
Mauvaise gestion des erreurs
|
La gestion des erreurs n’est pas réalisée correctement.
L’attaquant peut déclencher des erreurs qui ne sont pas gérées par l’application Web et ainsi obtenir des informations
détaillées sur le système, ou compromettre le serveur.
|
8
|
Mauvaise utilisation de la
Cryptographie
|
Les applications Web font fréquemment appel à des fonctions de cryptographie pour assurer l’intégrité et la confidentialité
des données. Certains de ses algorithmes ou leurs
implémentations peuvent comporter des failles de sécurité.
|
9
|
Faille dans l’administration distante
|
Beaucoup d’applications Web comportent un système
d’administration à distance, qui s’il n’est pas correctement
protégé, peut permettre à un attaquant de gagner les privilèges de l’administrateur.
|
10
|
Mauvaise configuration du serveur Web ou d’application
|
La sécurité de l’application Web repose sur celle du serveur Web,
du serveur d’application et du système d’exploitation. Ceux-ci ne sont généralement pas sécurisés avec la configuration par défaut.
|
