Une application web renferme 20 failles de sécurité : 7 variants identifiés (videocast)
Une étude révèle qu’une application web contient en moyenne 20 vulnérabilités de sécurité susceptibles d’être exploitées par des pirates. La plupart d’entre-elles sont dues à des erreurs et à de mauvaises configurations de sécurité qui pourraient être évitées. Les chercheurs ont ainsi identifié 7 types de failles. Suivez le guide.
Une nouvelle étude menée par Barracuda nous apprend qu’une application web contient en moyenne 20 vulnérabilités de sécurité susceptibles d’être exploitées par des attaquants pour voler des données, compromettre des comptes ou obtenir un accès non autorisé à des systèmes. Les résultats présentés dans le rapport montrent également que les vulnérabilités les plus fréquentes sont dues à des erreurs et à de mauvaises configurations de sécurité qui pourraient être évitées.
Ces constats sont le fruit d’une analyse de centaines de scans menée durant 5 mois par des chercheurs de Barracuda Application Security Insight.
« Une moyenne de 20 vulnérabilités par application offre aux attaquants de multiples possibilités d’identifier, de tester et d’exploiter des points faibles », explique Jesus Cordero-Guzman, Director, Solution Architects AppSec, NetSec & XDR International chez Barracuda.
Consulter notre article en vidéo podcast
« Même si chaque problème n’est pas critique en soi, les attaquants combinent souvent plusieurs vulnérabilités présentant un risque faible ou moyen afin d’accéder à des informations sensibles, de voler des identifiants ou d’obtenir un accès aux systèmes. Les organisations ont besoin d’une approche proactive et multicouche de la sécurité des applications, capable d’identifier et de traiter en continu les risques avant qu’ils ne puissent être exploités. »
Les experts à l’origine de l’étude ont ainsi identifié 7 grands types de vulnérabilités, qui représentent ensemble environ 90 % de toutes les vulnérabilités détectées.
7 vulnérabilités identifiées
-Fuites d’informations - Ce type de vulnérabilité représente un quart (25 %) des failles de sécurité détectées. Il se produit lorsqu’une application divulgue trop d’informations sur ses systèmes, domaines, pages cachées, chemins d’accès ou services. Les attaquants peuvent exploiter ces informations pour cartographier l’environnement de leur cible, repérer des points faibles, découvrir des endpoints ou des zones d’administration cachés et préparer des attaques ciblées tout en restant sous le radar.
-Usurpation de marque et spoofing - Cette catégorie représente 24 % des failles de sécurité détectées. Il s’agit de faiblesses qui permettent plus facilement aux attaquants de se faire passer pour une marque, un site web ou un domaine de confiance et d’inciter les utilisateurs à communiquer leurs identifiants ou des informations sensibles. Les attaquants peuvent exploiter des identités compromises pour cloner des pages web, rediriger les utilisateurs vers des sites malveillants, voler des identifiants ou envoyer des e-mails de phishing convaincants qui semblent provenir de la marque concernée.
- Attaques côté client (exploitation du navigateur) - Il s’agit de vulnérabilités dans la manière dont les pages web affichent ou exécutent du contenu, permettant à des attaquants d’exécuter des scripts malveillants dans le navigateur d’un utilisateur. L’exposition aux attaques côté client représente 14 % des failles de sécurité détectées. Les attaquants peuvent notamment les exploiter pour injecter des scripts, par exemple via des attaques Cross-Site Scripting (XSS). Ils peuvent ainsi voler des cookies de session, modifier du contenu, inciter les utilisateurs à cliquer sur des boutons dissimulés ou téléverser des fichiers trompeurs.
-Exposition de données - Cette catégorie représente 10 % des failles de sécurité détectées. Des données sensibles sont alors inutilement exposées via l’application, par exemple dans des pages web, des API, des fichiers journaux, des cookies, des scripts de suivi ou des réponses mal configurées. Les attaquants peuvent en profiter pour collecter des données à caractère personnel, des jetons d’accès, du contenu privé, des secrets ou des informations professionnelles confidentielles, notamment des e-mails et des paramètres de configuration. Ils peuvent également suivre des utilisateurs sans leur consentement et contourner ou manipuler des contrôles d’accès et des politiques de conservation des données.
-Les autres failles concernent un chiffrement faible ou inexistant, qui permet aux attaquants d’intercepter ou de manipuler le trafic de données (6 % des vulnérabilités), des logiciels obsolètes ou des configurations non sécurisées (également 6 %), ainsi que des faiblesses dans la gestion des sessions utilisateur et la protection des cookies et des identifiants de connexion (5 %).
« Les applications web constituent une interface essentielle pour les organisations, qu’il s’agisse de boutiques en ligne ou d’interfaces interactives destinées aux clients, aux partenaires et aux activités de l’entreprise. Il est donc essentiel de bien les sécuriser », résume Jesus Cordero-Guzman.
5 recommandations à suivre dans votre entreprise
Pour réduire les risques liés aux applications web, il est recommandé aux organisations de :
-Analyser régulièrement leurs applications afin de détecter les vulnérabilités et les mauvaises configurations de sécurité.
-Appliquer rapidement les correctifs et mettre à jour les applications, frameworks et dépendances.
-Limiter au strict minimum la divulgation d’informations et l’exposition de données sensibles.
-Renforcer les mesures de sécurité en matière de chiffrement, d’authentification et de gestion des sessions.
-Surveiller en continu les applications web afin de détecter les activités suspectes et les menaces émergentes.
SAVE THE DATE - October 15, 2026 Hi Site, Grimbergen (Brussels)
