CyberGlossary

Vulnérabilités

Contrôle d'accès défaillant

Aussi appelé: BAC, Contournement d'autorisation

Définition

Catégorie de vulnérabilités où les règles d'autorisation sont absentes ou mal appliquées, permettant à des utilisateurs d'effectuer des actions ou d'accéder à des données hors de leurs droits.

Le contrôle d'accès défaillant est le risque n°1 du Top 10 OWASP. Il survient lorsqu'une application n'applique pas systématiquement qui peut faire quoi : vérifications absentes côté serveur, confiance dans des URLs cachées (sécurité par obscurité), confiance dans des rôles fournis par le client, références directes à des objets sans vérification de propriété. Variantes : IDOR, navigation forcée vers des pages admin, contournement par manipulation de paramètres, altération de scopes JWT. L'impact va de la fuite d'informations à la compromission totale. Défenses : middleware d'autorisation centralisé, refus par défaut, application côté serveur pour chaque action, requêtes scoping utilisateur/tenant, tests d'intégration approfondis et DAST continu.

Exemples

  • Utilisateur normal appelant /api/admin/users sans vérification de rôle et obtenant la liste complète.
  • Modifier l'UUID d'un document dans l'URL pour lire la facture d'un autre client.

Termes liés