Technique de codage sécurisé : Le comportement par défaut des bibliothèques Zip peut conduire à l'exécution de code à distance.
Cette semaine, nous allons parler du comportement par défaut des bibliothèques Zip. Si vous êtes un développeur d'applications, il est très probable que vous ayez déjà utilisé ce type de librairie. La plupart des ressources téléchargées sur Internet sont au format zip, ce qui est logique : les données compressées sont plus petites, elles se téléchargent donc plus rapidement et consomment moins de bande passante.
Si vous voulez des exemples plus concrets : textures pour les jeux, packs de langues pour l'autocomplétion dans les claviers, ... De nombreuses ressources ne sont pas automatiquement intégrées à l'application, mais téléchargées ultérieurement.
Mais soyez prudent lorsque vous utilisez cette fonctionnalité, car les noms de fichiers dans les archives zip peuvent contenir des informations de traversée de chemin. Lors de l'extraction, cela conduit à la création de fichiers en dehors du répertoire prévu. Ceci est souvent fait dans le but d'écraser des fichiers existants.
Supposons que nous ayons une archive zip contenant les deux fichiers suivants :
fichier1
../fichier2
Lorsque cette archive est extraite, le fichier 1 est extrait à l'endroit prévu, c'est-à-dire dans le répertoire de décompression. Cependant, le fichier 2 a été écrit un répertoire plus haut que celui où nous avons demandé à la bibliothèque zip d'extraire l'archive.
Soyez donc prudent, si votre bibliothèque zip ne prend pas soin de gérer correctement ce cas, elle permettra à un attaquant d'écrire un fichier arbitraire dans le système. Vérifiez toujours si votre bibliothèque est sécurisée, cette règle est valable pour toutes les bibliothèques, mais en particulier vous savez qu'il faut vérifier le comportement par défaut de votre bibliothèque zip pour ces types de fichiers.
Démontrons les conséquences d'une mauvaise gestion de ce cas dans Android. Dans Android, la bibliothèque Java Zip (java.util.zip) est utilisée, la bibliothèque permet par défaut la traversée de chemin comme expliqué ci-dessus.
Le format Dalvik Executable (.dex) d'Android a des limitations sur la quantité de classes qu'un seul fichier peut avoir. Les applications qui ont besoin de plus de classes peuvent utiliser la bibliothèque MultiDex Support qui a été ajoutée depuis le niveau API 21 (Android 5.0 Lollipop). Cette bibliothèque enregistre des fichiers .dex secondaires dans le répertoire de données de l'application, ce répertoire est accessible en écriture par l'utilisateur de l'application et ce code sera chargé et exécuté lorsque le fichier .dex sera nécessaire.
Cela signifie qu'un attaquant peut modifier le fichier .dex en l'écrasant à l'aide d'une archive zip malveillante et, pire encore, ce fichier sera chargé et exécuté, ce qui entraînera une vulnérabilité d'exécution de code à distance. Il ne s'agit pas d'un simple exemple théorique, mais d'une démonstration sur l'application My Talking Tom, qui a été téléchargée plus de 100 millions de fois sur le magasin d'applications. Voici une vidéo de l'exploit qui a été présenté à Black Hat.
Vérifiez toujours le comportement de votre bibliothèque zip afin de connaître ses faiblesses. Si vous ne pouvez pas désactiver la traversée de chemin dans votre bibliothèque zip, assurez-vous de valider le nom de chaque entrée avant de l'extraire. Le nom doit être canonisé et le chemin résultant doit se trouver dans le répertoire dans lequel vous souhaitez extraire l'archive. Pendant que nous y sommes, vous devriez également vérifier la taille totale de l'archive extraite afin d'éviter les zip bombs, mais cela fera l'objet d'un article une autre semaine.
Si vous souhaitez relever des défis sur la traversée des chemins ou tester vos compétences en matière de codage sécurisé, consultez notre plateforme.
À la prochaine fois, et n'oubliez pas : code sécurisé ou pas !
- Nous pouvons injecter dans un zip un fichier dont le nom est préfixé par un nombre arbitraire de " ../ "
- Si la bibliothèque zip ne prend pas soin de gérer correctement ce cas, cela nous permettrait d'écrire en dehors du répertoire d'extraction prévu
- Si le fichier zip n'est pas fiable, cela donne à l'attaquant une vulnérabilité d'écriture arbitraire.
Nous pouvons injecter dans un zip un fichier dont le nom est préfixé par un
Chercheur en sécurité applicative - Ingénieur R&D - Doctorant
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstration
Chercheur en sécurité applicative - Ingénieur R&D - Doctorant
Cette semaine, nous allons parler du comportement par défaut des bibliothèques Zip. Si vous êtes un développeur d'applications, il est très probable que vous ayez déjà utilisé ce type de librairie. La plupart des ressources téléchargées sur Internet sont au format zip, ce qui est logique : les données compressées sont plus petites, elles se téléchargent donc plus rapidement et consomment moins de bande passante.
Si vous voulez des exemples plus concrets : textures pour les jeux, packs de langues pour l'autocomplétion dans les claviers, ... De nombreuses ressources ne sont pas automatiquement intégrées à l'application, mais téléchargées ultérieurement.
Mais soyez prudent lorsque vous utilisez cette fonctionnalité, car les noms de fichiers dans les archives zip peuvent contenir des informations de traversée de chemin. Lors de l'extraction, cela conduit à la création de fichiers en dehors du répertoire prévu. Ceci est souvent fait dans le but d'écraser des fichiers existants.
Supposons que nous ayons une archive zip contenant les deux fichiers suivants :
fichier1
../fichier2
Lorsque cette archive est extraite, le fichier 1 est extrait à l'endroit prévu, c'est-à-dire dans le répertoire de décompression. Cependant, le fichier 2 a été écrit un répertoire plus haut que celui où nous avons demandé à la bibliothèque zip d'extraire l'archive.
Soyez donc prudent, si votre bibliothèque zip ne prend pas soin de gérer correctement ce cas, elle permettra à un attaquant d'écrire un fichier arbitraire dans le système. Vérifiez toujours si votre bibliothèque est sécurisée, cette règle est valable pour toutes les bibliothèques, mais en particulier vous savez qu'il faut vérifier le comportement par défaut de votre bibliothèque zip pour ces types de fichiers.
Démontrons les conséquences d'une mauvaise gestion de ce cas dans Android. Dans Android, la bibliothèque Java Zip (java.util.zip) est utilisée, la bibliothèque permet par défaut la traversée de chemin comme expliqué ci-dessus.
Le format Dalvik Executable (.dex) d'Android a des limitations sur la quantité de classes qu'un seul fichier peut avoir. Les applications qui ont besoin de plus de classes peuvent utiliser la bibliothèque MultiDex Support qui a été ajoutée depuis le niveau API 21 (Android 5.0 Lollipop). Cette bibliothèque enregistre des fichiers .dex secondaires dans le répertoire de données de l'application, ce répertoire est accessible en écriture par l'utilisateur de l'application et ce code sera chargé et exécuté lorsque le fichier .dex sera nécessaire.
Cela signifie qu'un attaquant peut modifier le fichier .dex en l'écrasant à l'aide d'une archive zip malveillante et, pire encore, ce fichier sera chargé et exécuté, ce qui entraînera une vulnérabilité d'exécution de code à distance. Il ne s'agit pas d'un simple exemple théorique, mais d'une démonstration sur l'application My Talking Tom, qui a été téléchargée plus de 100 millions de fois sur le magasin d'applications. Voici une vidéo de l'exploit qui a été présenté à Black Hat.
Vérifiez toujours le comportement de votre bibliothèque zip afin de connaître ses faiblesses. Si vous ne pouvez pas désactiver la traversée de chemin dans votre bibliothèque zip, assurez-vous de valider le nom de chaque entrée avant de l'extraire. Le nom doit être canonisé et le chemin résultant doit se trouver dans le répertoire dans lequel vous souhaitez extraire l'archive. Pendant que nous y sommes, vous devriez également vérifier la taille totale de l'archive extraite afin d'éviter les zip bombs, mais cela fera l'objet d'un article une autre semaine.
Si vous souhaitez relever des défis sur la traversée des chemins ou tester vos compétences en matière de codage sécurisé, consultez notre plateforme.
À la prochaine fois, et n'oubliez pas : code sécurisé ou pas !
- Nous pouvons injecter dans un zip un fichier dont le nom est préfixé par un nombre arbitraire de " ../ "
- Si la bibliothèque zip ne prend pas soin de gérer correctement ce cas, cela nous permettrait d'écrire en dehors du répertoire d'extraction prévu
- Si le fichier zip n'est pas fiable, cela donne à l'attaquant une vulnérabilité d'écriture arbitraire.
Cette semaine, nous allons parler du comportement par défaut des bibliothèques Zip. Si vous êtes un développeur d'applications, il est très probable que vous ayez déjà utilisé ce type de librairie. La plupart des ressources téléchargées sur Internet sont au format zip, ce qui est logique : les données compressées sont plus petites, elles se téléchargent donc plus rapidement et consomment moins de bande passante.
Si vous voulez des exemples plus concrets : textures pour les jeux, packs de langues pour l'autocomplétion dans les claviers, ... De nombreuses ressources ne sont pas automatiquement intégrées à l'application, mais téléchargées ultérieurement.
Mais soyez prudent lorsque vous utilisez cette fonctionnalité, car les noms de fichiers dans les archives zip peuvent contenir des informations de traversée de chemin. Lors de l'extraction, cela conduit à la création de fichiers en dehors du répertoire prévu. Ceci est souvent fait dans le but d'écraser des fichiers existants.
Supposons que nous ayons une archive zip contenant les deux fichiers suivants :
fichier1
../fichier2
Lorsque cette archive est extraite, le fichier 1 est extrait à l'endroit prévu, c'est-à-dire dans le répertoire de décompression. Cependant, le fichier 2 a été écrit un répertoire plus haut que celui où nous avons demandé à la bibliothèque zip d'extraire l'archive.
Soyez donc prudent, si votre bibliothèque zip ne prend pas soin de gérer correctement ce cas, elle permettra à un attaquant d'écrire un fichier arbitraire dans le système. Vérifiez toujours si votre bibliothèque est sécurisée, cette règle est valable pour toutes les bibliothèques, mais en particulier vous savez qu'il faut vérifier le comportement par défaut de votre bibliothèque zip pour ces types de fichiers.
Démontrons les conséquences d'une mauvaise gestion de ce cas dans Android. Dans Android, la bibliothèque Java Zip (java.util.zip) est utilisée, la bibliothèque permet par défaut la traversée de chemin comme expliqué ci-dessus.
Le format Dalvik Executable (.dex) d'Android a des limitations sur la quantité de classes qu'un seul fichier peut avoir. Les applications qui ont besoin de plus de classes peuvent utiliser la bibliothèque MultiDex Support qui a été ajoutée depuis le niveau API 21 (Android 5.0 Lollipop). Cette bibliothèque enregistre des fichiers .dex secondaires dans le répertoire de données de l'application, ce répertoire est accessible en écriture par l'utilisateur de l'application et ce code sera chargé et exécuté lorsque le fichier .dex sera nécessaire.
Cela signifie qu'un attaquant peut modifier le fichier .dex en l'écrasant à l'aide d'une archive zip malveillante et, pire encore, ce fichier sera chargé et exécuté, ce qui entraînera une vulnérabilité d'exécution de code à distance. Il ne s'agit pas d'un simple exemple théorique, mais d'une démonstration sur l'application My Talking Tom, qui a été téléchargée plus de 100 millions de fois sur le magasin d'applications. Voici une vidéo de l'exploit qui a été présenté à Black Hat.
Vérifiez toujours le comportement de votre bibliothèque zip afin de connaître ses faiblesses. Si vous ne pouvez pas désactiver la traversée de chemin dans votre bibliothèque zip, assurez-vous de valider le nom de chaque entrée avant de l'extraire. Le nom doit être canonisé et le chemin résultant doit se trouver dans le répertoire dans lequel vous souhaitez extraire l'archive. Pendant que nous y sommes, vous devriez également vérifier la taille totale de l'archive extraite afin d'éviter les zip bombs, mais cela fera l'objet d'un article une autre semaine.
Si vous souhaitez relever des défis sur la traversée des chemins ou tester vos compétences en matière de codage sécurisé, consultez notre plateforme.
À la prochaine fois, et n'oubliez pas : code sécurisé ou pas !
- Nous pouvons injecter dans un zip un fichier dont le nom est préfixé par un nombre arbitraire de " ../ "
- Si la bibliothèque zip ne prend pas soin de gérer correctement ce cas, cela nous permettrait d'écrire en dehors du répertoire d'extraction prévu
- Si le fichier zip n'est pas fiable, cela donne à l'attaquant une vulnérabilité d'écriture arbitraire.
Cliquez sur le lien ci-dessous et téléchargez le PDF de cette ressource.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Voir le rapportRéservez une démonstration
Chercheur en sécurité applicative - Ingénieur R&D - Doctorant
Cette semaine, nous allons parler du comportement par défaut des bibliothèques Zip. Si vous êtes un développeur d'applications, il est très probable que vous ayez déjà utilisé ce type de librairie. La plupart des ressources téléchargées sur Internet sont au format zip, ce qui est logique : les données compressées sont plus petites, elles se téléchargent donc plus rapidement et consomment moins de bande passante.
Si vous voulez des exemples plus concrets : textures pour les jeux, packs de langues pour l'autocomplétion dans les claviers, ... De nombreuses ressources ne sont pas automatiquement intégrées à l'application, mais téléchargées ultérieurement.
Mais soyez prudent lorsque vous utilisez cette fonctionnalité, car les noms de fichiers dans les archives zip peuvent contenir des informations de traversée de chemin. Lors de l'extraction, cela conduit à la création de fichiers en dehors du répertoire prévu. Ceci est souvent fait dans le but d'écraser des fichiers existants.
Supposons que nous ayons une archive zip contenant les deux fichiers suivants :
fichier1
../fichier2
Lorsque cette archive est extraite, le fichier 1 est extrait à l'endroit prévu, c'est-à-dire dans le répertoire de décompression. Cependant, le fichier 2 a été écrit un répertoire plus haut que celui où nous avons demandé à la bibliothèque zip d'extraire l'archive.
Soyez donc prudent, si votre bibliothèque zip ne prend pas soin de gérer correctement ce cas, elle permettra à un attaquant d'écrire un fichier arbitraire dans le système. Vérifiez toujours si votre bibliothèque est sécurisée, cette règle est valable pour toutes les bibliothèques, mais en particulier vous savez qu'il faut vérifier le comportement par défaut de votre bibliothèque zip pour ces types de fichiers.
Démontrons les conséquences d'une mauvaise gestion de ce cas dans Android. Dans Android, la bibliothèque Java Zip (java.util.zip) est utilisée, la bibliothèque permet par défaut la traversée de chemin comme expliqué ci-dessus.
Le format Dalvik Executable (.dex) d'Android a des limitations sur la quantité de classes qu'un seul fichier peut avoir. Les applications qui ont besoin de plus de classes peuvent utiliser la bibliothèque MultiDex Support qui a été ajoutée depuis le niveau API 21 (Android 5.0 Lollipop). Cette bibliothèque enregistre des fichiers .dex secondaires dans le répertoire de données de l'application, ce répertoire est accessible en écriture par l'utilisateur de l'application et ce code sera chargé et exécuté lorsque le fichier .dex sera nécessaire.
Cela signifie qu'un attaquant peut modifier le fichier .dex en l'écrasant à l'aide d'une archive zip malveillante et, pire encore, ce fichier sera chargé et exécuté, ce qui entraînera une vulnérabilité d'exécution de code à distance. Il ne s'agit pas d'un simple exemple théorique, mais d'une démonstration sur l'application My Talking Tom, qui a été téléchargée plus de 100 millions de fois sur le magasin d'applications. Voici une vidéo de l'exploit qui a été présenté à Black Hat.
Vérifiez toujours le comportement de votre bibliothèque zip afin de connaître ses faiblesses. Si vous ne pouvez pas désactiver la traversée de chemin dans votre bibliothèque zip, assurez-vous de valider le nom de chaque entrée avant de l'extraire. Le nom doit être canonisé et le chemin résultant doit se trouver dans le répertoire dans lequel vous souhaitez extraire l'archive. Pendant que nous y sommes, vous devriez également vérifier la taille totale de l'archive extraite afin d'éviter les zip bombs, mais cela fera l'objet d'un article une autre semaine.
Si vous souhaitez relever des défis sur la traversée des chemins ou tester vos compétences en matière de codage sécurisé, consultez notre plateforme.
À la prochaine fois, et n'oubliez pas : code sécurisé ou pas !
- Nous pouvons injecter dans un zip un fichier dont le nom est préfixé par un nombre arbitraire de " ../ "
- Si la bibliothèque zip ne prend pas soin de gérer correctement ce cas, cela nous permettrait d'écrire en dehors du répertoire d'extraction prévu
- Si le fichier zip n'est pas fiable, cela donne à l'attaquant une vulnérabilité d'écriture arbitraire.
Table des matières
Chercheur en sécurité applicative - Ingénieur R&D - Doctorant
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstrationTéléchargerRessources pour vous aider à démarrer
Loi sur la cyber-résilience (CRA) Parcours d'apprentissage alignés
SCW soutient la préparation à la loi sur la cyber-résilience (CRA) grâce à des quêtes alignées sur la CRA et des collections d'apprentissage conceptuel qui aident les équipes de développement à acquérir les compétences nécessaires en matière de conception sécurisée, de SDLC et de codage sécurisé, conformément aux principes de développement sécurisé de la CRA.
La Chambre de commerce établit la norme en matière de sécurité à grande échelle axée sur les développeurs
La Chambre de commerce néerlandaise explique comment elle a intégré le codage sécurisé dans le développement quotidien grâce à des certifications basées sur les rôles, à l'évaluation comparative du Trust Score et à une culture de responsabilité partagée en matière de sécurité.
%20(1).avif)
.avif)
Modélisation des menaces avec l'IA : transformer chaque développeur en modélisateur de menaces
Vous repartirez mieux équipé pour aider les développeurs à combiner les idées et les techniques de modélisation des menaces avec les outils d'IA qu'ils utilisent déjà pour renforcer la sécurité, améliorer la collaboration et créer des logiciels plus résilients dès le départ.
Ressources pour vous aider à démarrer
L'IA peut écrire et réviser du code, mais les humains assument toujours le risque
Le lancement de Claude Code Security par Anthropic marque un point de convergence décisif entre le développement de logiciels assisté par l'IA et l'évolution rapide de notre approche de la cybersécurité moderne.
Explication de la loi sur la cyber-résilience : implications pour le développement de logiciels sécurisés dès la conception
Découvrez les exigences de la loi européenne sur la cyber-résilience (CRA), à qui elle s'applique et comment les équipes d'ingénieurs peuvent s'y préparer grâce à des pratiques de sécurité dès la conception, à la prévention des vulnérabilités et au renforcement des capacités des développeurs.
Facteur 1 : Critères de réussite définis et mesurables
Le catalyseur n° 1 inaugure notre série en 10 parties intitulée « Les catalyseurs de la réussite » en montrant comment relier le codage sécurisé à des résultats commerciaux tels que la réduction des risques et la vitesse pour une maturité à long terme des programmes.
Codage axé sur le développeur.
En toute sécurité.
Contactez-nous dès aujourd'hui et faites de la sécurité des logiciels une partie intrinsèque de votre processus de développement.
