Un chercheur en sécurité a découvert 21 risques potentiels dans Salesforce Industries. La plupart d’entre eux doivent être traités par les clients eux-mêmes.
Sur les conseils de la société de sécurité AppOmni, Salesforce a reconnu cinq vulnérabilités dans les Industry Clouds, composante de la plateforme Customer 360. Les cinq vulnérabilités reconnues varient de scores CVSS modérés (5,3) à plus critiques (7,5). Les attaquants peuvent les exploiter pour contourner les contrôles de sécurité et dérober des informations clients sensibles.
Les constats d’AppOmni ne se limitent pas à ces cinq vulnérabilités. Seize risques supplémentaires peuvent survenir en raison de configurations erronées. Ceux-ci relèvent toutefois de la responsabilité du client.
Responsabilité propre
Le chercheur Aaron Costello a noté que les erreurs de configuration dans Salesforce Industries peuvent notamment entraîner des détournements de session, des vols d’identifiants et des accès non autorisés à des données chiffrées. Les risques se manifestent dans divers composants de la plateforme cloud.
Salesforce a admis que cinq des constatations méritaient le statut CVE. Trois d’entre elles ont depuis été corrigées. Pour les deux autres, des directives de configuration ont été fournies, nécessitant une action de la part des clients. Ces vulnérabilités permettent, entre autres, aux utilisateurs invités de lire des données chiffrées ou de contourner les contrôles de permission côté client.
Les seize autres risques relèvent de la gestion de la configuration par le client lui-même. Il est ainsi possible que des composants n’imposent pas de contrôles d’accès par défaut ou que des données sensibles, telles que des clés API, soient lisibles par des utilisateurs non autorisés. Certains mécanismes de mise en cache peuvent même contourner les niveaux d’accès et divulguer des données entre utilisateurs.
Écart de maturité
Salesforce, comme de nombreux fournisseurs de services cloud, applique le « principe de responsabilité partagée ». Cela signifie que Salesforce fournit le coffre-fort, mais que les clients doivent penser eux-mêmes à le verrouiller. C’est là que le bât blesse selon Costello. La plateforme Industries est conçue pour des utilisateurs non techniques, ce qui, selon les chercheurs, crée un « écart de maturité », car elle requiert la même sécurité que les logiciels traditionnels.
Il est recommandé aux organisations de limiter les règles d’accès, de configurer correctement la mise en cache et de sécuriser davantage les composants sensibles, entre autres mesures. Pour les clients soumis à des réglementations telles que le RGPD, une configuration incorrecte peut entraîner de graves problèmes de conformité.
Salesforce souligne via Hacker News qu’elle a résolu les vulnérabilités qu’elle peut corriger elle-même et que les autres risques sont le résultat de configurations erronées. Celles-ci peuvent avoir des conséquences très importantes, comme l’a illustré une série d’incidents chez des clients de Snowflake l’année dernière.