Une application web contient en moyenne vingt failles de sécurité, selon une nouvelle étude de Barracuda. La plupart de ces points faibles résultent de « simples erreurs ».
Dans une étude, l’entreprise de cybersécurité Barracuda expose la vulnérabilité des applications web. L’entreprise a effectué des centaines de scans pendant cinq mois. Barracuda a dénombré en moyenne 20 vulnérabilités par application web. Il s’agit souvent d’erreurs simples qui, selon Barracuda, peuvent être facilement évitées.
Fuites d’informations et spoofing comme principaux coupables
Barracuda identifie sept catégories représentant environ quatre-vingt-dix pour cent des vulnérabilités découvertes. Les fuites d’informations constituent la catégorie la plus importante avec 25 pour cent. Les applications en révèlent trop sur leurs systèmes, domaines, pages cachées ou services. Les attaquants utilisent ces données pour cartographier un environnement, trouver des points faibles et préparer des attaques ciblées sans se faire remarquer.
L’usurpation de marque et le spoofing suivent de près avec 24 pour cent. Ici, les attaquants exploitent les points faibles pour se faire passer pour une marque ou un domaine de confiance. Ils peuvent ainsi cloner des pages web, diriger les utilisateurs vers des sites malveillants ou envoyer des e-mails de phishing convaincants semblant provenir de la marque réelle.
Les attaques client-side, où des scripts malveillants sont exécutés via le navigateur, représentent 14 pour cent des vulnérabilités. Citons par exemple le cross-site scripting, avec lequel les attaquants volent des cookies de session ou trompent les utilisateurs pour qu’ils cliquent sur des boutons cachés.
Exposition de données et systèmes obsolètes
L’exposition de données représente 10 pour cent des vulnérabilités. Des informations sensibles fuitent alors via des pages web, des API, des fichiers journaux ou des réponses mal configurées. Les attaquants peuvent ainsi collecter des données personnelles, des jetons et des informations d’entreprise, ou suivre les utilisateurs à leur insu.
Un chiffrement faible ou absent et des logiciels obsolètes représentent chacun 6 pour cent des problèmes, tandis qu’une gestion de session médiocre et une protection insuffisante des cookies et des identifiants comptent pour 5 pour cent. Selon Jesus Cordero-Guzman, directeur Solution Architects AppSec, NetSec & XDR International chez Barracuda, les attaquants combinent souvent plusieurs petites vulnérabilités pour obtenir malgré tout des données sensibles ou des identifiants.
Erreurs simples
Selon Barracuda, beaucoup de ces erreurs peuvent être facilement évitées en scannant régulièrement les applications pour détecter les vulnérabilités et les mauvaises configurations, et en les corrigeant immédiatement. De plus, selon l’entreprise, il est important de limiter au minimum la divulgation d’informations et de renforcer la sécurité du chiffrement, de l’authentification et des sessions.
Une surveillance continue des applications web pour détecter les activités suspectes et les nouvelles menaces reste nécessaire. Cordero-Guzman souligne qu’une approche proactive et multicouche de la sécurité des applications doit identifier et traiter les risques avant que les attaquants ne puissent les exploiter.
L’étude de Barracuda montre que les applications web sont rarement victimes de techniques d’attaque avancées, mais surtout d’erreurs de base évitables avec la discipline appropriée. Pour les organisations gérant des boutiques en ligne, des portails clients ou des interfaces partenaires, le contrôle continu de leurs applications n’est pas un luxe superflu.