Débordement d'entier.

Les débordements d'entier surviennent lorsqu'un calcul dépasse la valeur maximale (ou minimale) que le type peut contenir, provoquant un wraparound, un changement de signe ou une troncature. Cela devient un problème de sécurité quand la valeur erronée est ensuite utilisée comme taille de tampon, compteur de boucle, index de tableau ou contrôle d'autorisation, produisant souvent des débordements de tampon, des boucles infinies ou des contournements de limites.

Le schéma classique. Un point de convergence fréquent est malloc(count * size) : si count * size déborde au-delà de SIZE_MAX, l'allocateur renvoie un tampon bien plus petit que ce que le code suppose, et la copie qui suit écrit au-delà de la fin — un débordement provoqué par une multiplication, et non par une mauvaise longueur de memcpy. La famille Stagefright d'Android en 2015 (CVE-2015-1538) a exploité exactement cela : un débordement d'entier dans l'atome de métadonnées stsc d'un fichier MP4 provoquait une allocation de tas trop courte, permettant à un seul message MMS d'obtenir l'exécution de code à distance sur environ 950 millions d'appareils estimés. La faille challenge-response d'OpenSSH de 2002 (CVE-2002-0639) ainsi que de nombreux bugs de codecs image et de parseurs de polices suivent la même forme. Les conversions signé vers non signé sont un piège apparenté : une longueur négative interprétée comme une énorme valeur non signée déjoue une vérification naïve du type if (len > max).

Les défenses incluent l'arithmétique vérifiée (checked_add/checked_mul de Rust, ckd_* de C23, -ftrapv du compilateur et UBSan), le calcul dans un type plus large suivi d'une vérification de plage avant de réduire, le choix de types adaptés au domaine, la validation des tailles contrôlées par l'attaquant avant l'allocation, et un fuzzing agressif des parseurs.

flowchart TD
  A[count et size contrôlés<br/>par l'attaquant] --> B[size = count * elem]
  B --> C{Le produit dépasse-t-il<br/>le max du type ?}
  C -->|Non| D[Allocation correcte]
  C -->|Oui| E[La valeur déborde vers<br/>un petit nombre]
  E --> F[Tampon sous-dimensionné alloué]
  F --> G[La copie écrit au-delà de la fin<br/>corruption de tas / RCE]