Les codeurs conquièrent la sécurité : série Share & Learn - Utilisation de composants présentant des vulnérabilités connues

Quelle est la seule caractéristique de toutes les applications ? Composants, également appelés dépendances ou bibliothèques. Il existe très peu de code dans le monde qui ne dépende pas d'un autre code à un moment donné. Vous commencez même avec une montagne de dépendances dès la création de l'application !

Étant donné que toutes les applications utilisent des composants, dont la plupart ne sont pas écrits par vous, les vulnérabilités des composants que vous utilisez peuvent devenir des responsabilités. Discutons de ce que signifie l'utilisation de composants présentant des vulnérabilités connues, de sa dangerosité et de la manière de la résoudre.

Comprendre l'utilisation de composants présentant des vulnérabilités connues

Tous les logiciels complexes présentent des vulnérabilités. C'est la nature de la bête. Vos composants ne seront donc jamais sûrs à 100 %. Cependant, lorsque des vulnérabilités sont détectées dans des composants, le savez-vous ? Es-tu prêt pour ça ?

Les problèmes surviennent le plus souvent lorsque les composants sont utilisés au-delà de leur durée de vie utile ou après la découverte de vulnérabilités. La plupart des composants et bibliothèques publient des correctifs pour les failles de sécurité au moment de l'annonce de la vulnérabilité ou avant celle-ci. Par conséquent, lorsque des vulnérabilités dans des composants sont découvertes et annoncées, il est de la plus haute importance de les mettre à jour le plus rapidement possible. Ne laissez pas de logiciels vulnérables en production.

Les composants peuvent provenir de plusieurs sources. Parfois, vous achetez des produits de fournisseurs tiers qui s'intègrent directement à votre code personnalisé. Ces composants font partie de votre code et fonctionnent avec le même niveau de privilège. Les projets open source hébergés sur des sites tels que GitHub constituent une autre source. L'open source peut être dangereux car toutes les bibliothèques open source n'ont pas été soigneusement contrôlées ou auditées pour détecter les vulnérabilités.

Les attaquants utilisent les informations relatives à la vulnérabilité des composants à leur avantage. Étant donné que les vulnérabilités sont annoncées publiquement, les attaquants sont au courant des vulnérabilités en même temps que vous. Les attaquants disposent également de techniques qu'ils peuvent utiliser pour découvrir quels composants vous utilisez. Une fois ces informations connues, ils sauront comment attaquer votre application si elle n'est pas corrigée.

Découvrez pourquoi les composants vulnérables sont dangereux

Si vous recherchez des preuves de la dangerosité de l'utilisation de composants présentant des vulnérabilités connues, ne cherchez pas plus loin que la faille d'Equifax survenue en 2017.

En juillet 2017, Equifax, une agence de crédit américaine, a découvert une violation de données massive qui a permis de divulguer les informations personnelles identifiables de plus de 147 millions de personnes. L'ampleur et l'impact de cette violation de données sont sans précédent. Récemment, des nouvelles sont parues sur Les pratiques de sécurité laxistes d'Equifax.

L'une de ces pratiques laxistes était la gestion des correctifs. Equifax n'avait pas de bonnes pratiques de gestion des correctifs, ce qui signifiait que ses composants restaient un certain temps sans être corrigés. C'était la cause directe de la violation..

Le site Web d'Equifax a utilisé le Framework web Apache Struts. Plusieurs mois avant que les attaquants ne piratent le réseau, une vulnérabilité a été découverte dans le framework Struts, Apache Struts CVE-2017-5638. Cependant, Equifax n'a pas corrigé la vulnérabilité. Les attaquants ont utilisé cette vulnérabilité pour accéder au réseau d'Equifax. De là, ils ont eu accès à une mine d'informations personnelles.

De nombreux sites Web sont basés sur des frameworks Web non écrits par l'entreprise. Il s'agit d'une pratique courante, car intégrer toutes les fonctionnalités nécessaires à partir de zéro serait une entreprise trop importante. Cependant, le fait de dépendre fortement d'un framework peut vous exposer à des vulnérabilités. Ne devenez pas le prochain Equifax.

Comment se protéger contre les composants vulnérables

Il n'existe pas de solution miracle pour se protéger contre l'utilisation de composants vulnérables. Cependant, il existe des politiques et des contrôles que vous pouvez utiliser pour atténuer le risque que des composants vulnérables soient utilisés pour compromettre vos systèmes.

Vous devez savoir quels composants et quelle version de chaque composant vous utilisez pour créer vos applications. Outils de gestion des dépendances tels que Contrôle de dépendance de l'OWASP vous aident à comprendre les dépendances que vous utilisez. Dependency Check vous indiquera également si l'un de ces composants présente une vulnérabilité révélée publiquement.

Une méthodologie de gestion des correctifs est également essentielle. Lorsque des vulnérabilités sont découvertes, mettez en place un système pour que les correctifs soient téléchargés, testés et mis en production sans problème. En maintenant les correctifs de votre logiciel, vous évitez que des vulnérabilités vieilles de plusieurs mois ne soient utilisées par des attaquants.

Enfin, mettez en place des politiques régissant l'utilisation de composants open source et tiers. Les développeurs n'aiment pas les formalités administratives, et c'est compréhensible. Cependant, un processus de vérification doit être mis en place pour le code qui n'est pas écrit par votre organisation. Il n'a pas besoin d'être lourd, mais c'est indispensable pour éviter l'utilisation de composants inconnus. Au minimum, un inventaire des composants utilisés doit être tenu à jour.

Ne vous faites pas mordre par un bogue tiers

Les composants présenteront des vulnérabilités. Vos applications métiers utiliseront des composants, qu'ils proviennent d'un fournisseur ou d'une bibliothèque open source. Cela ne signifie pas que votre organisation doit être vulnérable aux attaques.

Même si les attaquants savent quelles vulnérabilités existent en même temps que vous, les correctifs sont généralement mis à disposition en même temps que les annonces publiques. Assurez-vous donc de vous renseigner sur ce que votre application utilise. Sachez ce qui est vulnérable. Veillez à ce que vos composants soient patchés !

Êtes-vous prêt à découvrir (et à vaincre) certains composants vulnérables ? Dirigez-vous vers l'arène pour participer à la bataille : [Commencez ici]