安全编码技术：Zip 库的默认行为可能会导致远程代码执行
Cette semaine, nous allons parler du comportement par défaut des bibliothèques Zip. Si vous êtes un développeur d'applications, il est très probable que vous ayez déjà utilisé ce type de librairie. La plupart des ressources téléchargées sur Internet sont au format zip, ce qui est logique : les données compressées sont plus petites, elles se téléchargent donc plus rapidement et consomment moins de bande passante.
Si vous voulez des exemples plus concrets : textures pour les jeux, packs de langues pour l'autocomplétion dans les claviers, ... De nombreuses ressources ne sont pas automatiquement intégrées à l'application, mais téléchargées ultérieurement.
Mais soyez prudent lorsque vous utilisez cette fonctionnalité, car les noms de fichiers dans les archives zip peuvent contenir des informations de traversée de chemin. Lors de l'extraction, cela conduit à la création de fichiers en dehors du répertoire prévu. Ceci est souvent fait dans le but d'écraser des fichiers existants.
Supposons que nous ayons une archive zip contenant les deux fichiers suivants :
fichier1
../fichier2
Lorsque cette archive est extraite, le fichier 1 est extrait à l'endroit prévu, c'est-à-dire dans le répertoire de décompression. Cependant, le fichier 2 a été écrit un répertoire plus haut que celui où nous avons demandé à la bibliothèque zip d'extraire l'archive.
Soyez donc prudent, si votre bibliothèque zip ne prend pas soin de gérer correctement ce cas, elle permettra à un attaquant d'écrire un fichier arbitraire dans le système. Vérifiez toujours si votre bibliothèque est sécurisée, cette règle est valable pour toutes les bibliothèques, mais en particulier vous savez qu'il faut vérifier le comportement par défaut de votre bibliothèque zip pour ces types de fichiers.
Démontrons les conséquences d'une mauvaise gestion de ce cas dans Android. Dans Android, la bibliothèque Java Zip (java.util.zip) est utilisée, la bibliothèque permet par défaut la traversée de chemin comme expliqué ci-dessus.
Le format Dalvik Executable (.dex) d'Android a des limitations sur la quantité de classes qu'un seul fichier peut avoir. Les applications qui ont besoin de plus de classes peuvent utiliser la bibliothèque MultiDex Support qui a été ajoutée depuis le niveau API 21 (Android 5.0 Lollipop). Cette bibliothèque enregistre des fichiers .dex secondaires dans le répertoire de données de l'application, ce répertoire est accessible en écriture par l'utilisateur de l'application et ce code sera chargé et exécuté lorsque le fichier .dex sera nécessaire.
Cela signifie qu'un attaquant peut modifier le fichier .dex en l'écrasant à l'aide d'une archive zip malveillante et, pire encore, ce fichier sera chargé et exécuté, ce qui entraînera une vulnérabilité d'exécution de code à distance. Il ne s'agit pas d'un simple exemple théorique, mais d'une démonstration sur l'application My Talking Tom, qui a été téléchargée plus de 100 millions de fois sur le magasin d'applications. Voici une vidéo de l'exploit qui a été présenté à Black Hat.
Vérifiez toujours le comportement de votre bibliothèque zip afin de connaître ses faiblesses. Si vous ne pouvez pas désactiver la traversée de chemin dans votre bibliothèque zip, assurez-vous de valider le nom de chaque entrée avant de l'extraire. Le nom doit être canonisé et le chemin résultant doit se trouver dans le répertoire dans lequel vous souhaitez extraire l'archive. Pendant que nous y sommes, vous devriez également vérifier la taille totale de l'archive extraite afin d'éviter les zip bombs, mais cela fera l'objet d'un article une autre semaine.
Si vous souhaitez relever des défis sur la traversée des chemins ou tester vos compétences en matière de codage sécurisé, consultez notre plateforme.
À la prochaine fois, et n'oubliez pas : code sécurisé ou pas !
- Nous pouvons injecter dans un zip un fichier dont le nom est préfixé par un nombre arbitraire de " ../ "
- Si la bibliothèque zip ne prend pas soin de gérer correctement ce cas, cela nous permettrait d'écrire en dehors du répertoire d'extraction prévu
- Si le fichier zip n'est pas fiable, cela donne à l'attaquant une vulnérabilité d'écriture arbitraire.
Chercheur en sécurité applicative - Ingénieur R&D - Doctorant
Secure Code Warrior peut aider votre organisation à sécuriser le code tout au long du cycle de vie du développement logiciel et à instaurer une culture qui accorde la priorité à la cybersécurité. Que vous soyez responsable de la sécurité des applications, développeur, directeur de la sécurité de l'information ou tout autre professionnel concerné par la sécurité, nous pouvons aider votre organisation à réduire les risques liés au code non sécurisé.
Veuillez réserver une démonstration.
Chercheur en sécurité applicative - Ingénieur R&D - Doctorant
Cette semaine, nous allons parler du comportement par défaut des bibliothèques Zip. Si vous êtes un développeur d'applications, il est très probable que vous ayez déjà utilisé ce type de librairie. La plupart des ressources téléchargées sur Internet sont au format zip, ce qui est logique : les données compressées sont plus petites, elles se téléchargent donc plus rapidement et consomment moins de bande passante.
Si vous voulez des exemples plus concrets : textures pour les jeux, packs de langues pour l'autocomplétion dans les claviers, ... De nombreuses ressources ne sont pas automatiquement intégrées à l'application, mais téléchargées ultérieurement.
Mais soyez prudent lorsque vous utilisez cette fonctionnalité, car les noms de fichiers dans les archives zip peuvent contenir des informations de traversée de chemin. Lors de l'extraction, cela conduit à la création de fichiers en dehors du répertoire prévu. Ceci est souvent fait dans le but d'écraser des fichiers existants.
Supposons que nous ayons une archive zip contenant les deux fichiers suivants :
fichier1
../fichier2
Lorsque cette archive est extraite, le fichier 1 est extrait à l'endroit prévu, c'est-à-dire dans le répertoire de décompression. Cependant, le fichier 2 a été écrit un répertoire plus haut que celui où nous avons demandé à la bibliothèque zip d'extraire l'archive.
Soyez donc prudent, si votre bibliothèque zip ne prend pas soin de gérer correctement ce cas, elle permettra à un attaquant d'écrire un fichier arbitraire dans le système. Vérifiez toujours si votre bibliothèque est sécurisée, cette règle est valable pour toutes les bibliothèques, mais en particulier vous savez qu'il faut vérifier le comportement par défaut de votre bibliothèque zip pour ces types de fichiers.
Démontrons les conséquences d'une mauvaise gestion de ce cas dans Android. Dans Android, la bibliothèque Java Zip (java.util.zip) est utilisée, la bibliothèque permet par défaut la traversée de chemin comme expliqué ci-dessus.
Le format Dalvik Executable (.dex) d'Android a des limitations sur la quantité de classes qu'un seul fichier peut avoir. Les applications qui ont besoin de plus de classes peuvent utiliser la bibliothèque MultiDex Support qui a été ajoutée depuis le niveau API 21 (Android 5.0 Lollipop). Cette bibliothèque enregistre des fichiers .dex secondaires dans le répertoire de données de l'application, ce répertoire est accessible en écriture par l'utilisateur de l'application et ce code sera chargé et exécuté lorsque le fichier .dex sera nécessaire.
Cela signifie qu'un attaquant peut modifier le fichier .dex en l'écrasant à l'aide d'une archive zip malveillante et, pire encore, ce fichier sera chargé et exécuté, ce qui entraînera une vulnérabilité d'exécution de code à distance. Il ne s'agit pas d'un simple exemple théorique, mais d'une démonstration sur l'application My Talking Tom, qui a été téléchargée plus de 100 millions de fois sur le magasin d'applications. Voici une vidéo de l'exploit qui a été présenté à Black Hat.
Vérifiez toujours le comportement de votre bibliothèque zip afin de connaître ses faiblesses. Si vous ne pouvez pas désactiver la traversée de chemin dans votre bibliothèque zip, assurez-vous de valider le nom de chaque entrée avant de l'extraire. Le nom doit être canonisé et le chemin résultant doit se trouver dans le répertoire dans lequel vous souhaitez extraire l'archive. Pendant que nous y sommes, vous devriez également vérifier la taille totale de l'archive extraite afin d'éviter les zip bombs, mais cela fera l'objet d'un article une autre semaine.
Si vous souhaitez relever des défis sur la traversée des chemins ou tester vos compétences en matière de codage sécurisé, consultez notre plateforme.
À la prochaine fois, et n'oubliez pas : code sécurisé ou pas !
- Nous pouvons injecter dans un zip un fichier dont le nom est préfixé par un nombre arbitraire de " ../ "
- Si la bibliothèque zip ne prend pas soin de gérer correctement ce cas, cela nous permettrait d'écrire en dehors du répertoire d'extraction prévu
- Si le fichier zip n'est pas fiable, cela donne à l'attaquant une vulnérabilité d'écriture arbitraire.
Cette semaine, nous allons parler du comportement par défaut des bibliothèques Zip. Si vous êtes un développeur d'applications, il est très probable que vous ayez déjà utilisé ce type de librairie. La plupart des ressources téléchargées sur Internet sont au format zip, ce qui est logique : les données compressées sont plus petites, elles se téléchargent donc plus rapidement et consomment moins de bande passante.
Si vous voulez des exemples plus concrets : textures pour les jeux, packs de langues pour l'autocomplétion dans les claviers, ... De nombreuses ressources ne sont pas automatiquement intégrées à l'application, mais téléchargées ultérieurement.
Mais soyez prudent lorsque vous utilisez cette fonctionnalité, car les noms de fichiers dans les archives zip peuvent contenir des informations de traversée de chemin. Lors de l'extraction, cela conduit à la création de fichiers en dehors du répertoire prévu. Ceci est souvent fait dans le but d'écraser des fichiers existants.
Supposons que nous ayons une archive zip contenant les deux fichiers suivants :
fichier1
../fichier2
Lorsque cette archive est extraite, le fichier 1 est extrait à l'endroit prévu, c'est-à-dire dans le répertoire de décompression. Cependant, le fichier 2 a été écrit un répertoire plus haut que celui où nous avons demandé à la bibliothèque zip d'extraire l'archive.
Soyez donc prudent, si votre bibliothèque zip ne prend pas soin de gérer correctement ce cas, elle permettra à un attaquant d'écrire un fichier arbitraire dans le système. Vérifiez toujours si votre bibliothèque est sécurisée, cette règle est valable pour toutes les bibliothèques, mais en particulier vous savez qu'il faut vérifier le comportement par défaut de votre bibliothèque zip pour ces types de fichiers.
Démontrons les conséquences d'une mauvaise gestion de ce cas dans Android. Dans Android, la bibliothèque Java Zip (java.util.zip) est utilisée, la bibliothèque permet par défaut la traversée de chemin comme expliqué ci-dessus.
Le format Dalvik Executable (.dex) d'Android a des limitations sur la quantité de classes qu'un seul fichier peut avoir. Les applications qui ont besoin de plus de classes peuvent utiliser la bibliothèque MultiDex Support qui a été ajoutée depuis le niveau API 21 (Android 5.0 Lollipop). Cette bibliothèque enregistre des fichiers .dex secondaires dans le répertoire de données de l'application, ce répertoire est accessible en écriture par l'utilisateur de l'application et ce code sera chargé et exécuté lorsque le fichier .dex sera nécessaire.
Cela signifie qu'un attaquant peut modifier le fichier .dex en l'écrasant à l'aide d'une archive zip malveillante et, pire encore, ce fichier sera chargé et exécuté, ce qui entraînera une vulnérabilité d'exécution de code à distance. Il ne s'agit pas d'un simple exemple théorique, mais d'une démonstration sur l'application My Talking Tom, qui a été téléchargée plus de 100 millions de fois sur le magasin d'applications. Voici une vidéo de l'exploit qui a été présenté à Black Hat.
Vérifiez toujours le comportement de votre bibliothèque zip afin de connaître ses faiblesses. Si vous ne pouvez pas désactiver la traversée de chemin dans votre bibliothèque zip, assurez-vous de valider le nom de chaque entrée avant de l'extraire. Le nom doit être canonisé et le chemin résultant doit se trouver dans le répertoire dans lequel vous souhaitez extraire l'archive. Pendant que nous y sommes, vous devriez également vérifier la taille totale de l'archive extraite afin d'éviter les zip bombs, mais cela fera l'objet d'un article une autre semaine.
Si vous souhaitez relever des défis sur la traversée des chemins ou tester vos compétences en matière de codage sécurisé, consultez notre plateforme.
À la prochaine fois, et n'oubliez pas : code sécurisé ou pas !
- Nous pouvons injecter dans un zip un fichier dont le nom est préfixé par un nombre arbitraire de " ../ "
- Si la bibliothèque zip ne prend pas soin de gérer correctement ce cas, cela nous permettrait d'écrire en dehors du répertoire d'extraction prévu
- Si le fichier zip n'est pas fiable, cela donne à l'attaquant une vulnérabilité d'écriture arbitraire.
Veuillez cliquer sur le lien ci-dessous pour télécharger le PDF de cette ressource.
Secure Code Warrior peut aider votre organisation à sécuriser le code tout au long du cycle de vie du développement logiciel et à instaurer une culture qui accorde la priorité à la cybersécurité. Que vous soyez responsable de la sécurité des applications, développeur, directeur de la sécurité de l'information ou tout autre professionnel concerné par la sécurité, nous pouvons aider votre organisation à réduire les risques liés au code non sécurisé.
Veuillez consulter le rapport.Veuillez réserver une démonstration.
Chercheur en sécurité applicative - Ingénieur R&D - Doctorant
Cette semaine, nous allons parler du comportement par défaut des bibliothèques Zip. Si vous êtes un développeur d'applications, il est très probable que vous ayez déjà utilisé ce type de librairie. La plupart des ressources téléchargées sur Internet sont au format zip, ce qui est logique : les données compressées sont plus petites, elles se téléchargent donc plus rapidement et consomment moins de bande passante.
Si vous voulez des exemples plus concrets : textures pour les jeux, packs de langues pour l'autocomplétion dans les claviers, ... De nombreuses ressources ne sont pas automatiquement intégrées à l'application, mais téléchargées ultérieurement.
Mais soyez prudent lorsque vous utilisez cette fonctionnalité, car les noms de fichiers dans les archives zip peuvent contenir des informations de traversée de chemin. Lors de l'extraction, cela conduit à la création de fichiers en dehors du répertoire prévu. Ceci est souvent fait dans le but d'écraser des fichiers existants.
Supposons que nous ayons une archive zip contenant les deux fichiers suivants :
fichier1
../fichier2
Lorsque cette archive est extraite, le fichier 1 est extrait à l'endroit prévu, c'est-à-dire dans le répertoire de décompression. Cependant, le fichier 2 a été écrit un répertoire plus haut que celui où nous avons demandé à la bibliothèque zip d'extraire l'archive.
Soyez donc prudent, si votre bibliothèque zip ne prend pas soin de gérer correctement ce cas, elle permettra à un attaquant d'écrire un fichier arbitraire dans le système. Vérifiez toujours si votre bibliothèque est sécurisée, cette règle est valable pour toutes les bibliothèques, mais en particulier vous savez qu'il faut vérifier le comportement par défaut de votre bibliothèque zip pour ces types de fichiers.
Démontrons les conséquences d'une mauvaise gestion de ce cas dans Android. Dans Android, la bibliothèque Java Zip (java.util.zip) est utilisée, la bibliothèque permet par défaut la traversée de chemin comme expliqué ci-dessus.
Le format Dalvik Executable (.dex) d'Android a des limitations sur la quantité de classes qu'un seul fichier peut avoir. Les applications qui ont besoin de plus de classes peuvent utiliser la bibliothèque MultiDex Support qui a été ajoutée depuis le niveau API 21 (Android 5.0 Lollipop). Cette bibliothèque enregistre des fichiers .dex secondaires dans le répertoire de données de l'application, ce répertoire est accessible en écriture par l'utilisateur de l'application et ce code sera chargé et exécuté lorsque le fichier .dex sera nécessaire.
Cela signifie qu'un attaquant peut modifier le fichier .dex en l'écrasant à l'aide d'une archive zip malveillante et, pire encore, ce fichier sera chargé et exécuté, ce qui entraînera une vulnérabilité d'exécution de code à distance. Il ne s'agit pas d'un simple exemple théorique, mais d'une démonstration sur l'application My Talking Tom, qui a été téléchargée plus de 100 millions de fois sur le magasin d'applications. Voici une vidéo de l'exploit qui a été présenté à Black Hat.
Vérifiez toujours le comportement de votre bibliothèque zip afin de connaître ses faiblesses. Si vous ne pouvez pas désactiver la traversée de chemin dans votre bibliothèque zip, assurez-vous de valider le nom de chaque entrée avant de l'extraire. Le nom doit être canonisé et le chemin résultant doit se trouver dans le répertoire dans lequel vous souhaitez extraire l'archive. Pendant que nous y sommes, vous devriez également vérifier la taille totale de l'archive extraite afin d'éviter les zip bombs, mais cela fera l'objet d'un article une autre semaine.
Si vous souhaitez relever des défis sur la traversée des chemins ou tester vos compétences en matière de codage sécurisé, consultez notre plateforme.
À la prochaine fois, et n'oubliez pas : code sécurisé ou pas !
- Nous pouvons injecter dans un zip un fichier dont le nom est préfixé par un nombre arbitraire de " ../ "
- Si la bibliothèque zip ne prend pas soin de gérer correctement ce cas, cela nous permettrait d'écrire en dehors du répertoire d'extraction prévu
- Si le fichier zip n'est pas fiable, cela donne à l'attaquant une vulnérabilité d'écriture arbitraire.
Table des matières
Chercheur en sécurité applicative - Ingénieur R&D - Doctorant
Secure Code Warrior peut aider votre organisation à sécuriser le code tout au long du cycle de vie du développement logiciel et à instaurer une culture qui accorde la priorité à la cybersécurité. Que vous soyez responsable de la sécurité des applications, développeur, directeur de la sécurité de l'information ou tout autre professionnel concerné par la sécurité, nous pouvons aider votre organisation à réduire les risques liés au code non sécurisé.
Veuillez réserver une démonstration.TéléchargerRessources pour vous aider à démarrer
Formation sur les codes de sécurité : thèmes et contenu
Notre contenu de pointe évolue constamment pour s'adapter au paysage changeant du développement logiciel, tout en tenant compte de votre rôle. Les sujets abordés couvrent tout, de l'IA à l'injection XQuery, et s'adressent à divers postes, des architectes et ingénieurs aux chefs de produit et responsables de l'assurance qualité. Découvrez un aperçu par thème et par rôle de ce que notre catalogue de contenu a à offrir.
La Chambre de commerce établit la norme en matière de sécurité à grande échelle axée sur les développeurs
La Chambre de commerce néerlandaise explique comment elle a intégré le codage sécurisé dans le développement quotidien grâce à des certifications basées sur les rôles, à l'évaluation comparative du Trust Score et à une culture de responsabilité partagée en matière de sécurité.
%20(1).avif)
.avif)
Modélisation des menaces avec l'IA : transformer chaque développeur en modélisateur de menaces
Vous repartirez mieux équipé pour aider les développeurs à combiner les idées et les techniques de modélisation des menaces avec les outils d'IA qu'ils utilisent déjà pour renforcer la sécurité, améliorer la collaboration et créer des logiciels plus résilients dès le départ.
Ressources pour vous aider à démarrer
Cybermon est de retour : la mission AI pour vaincre le boss est désormais disponible sur demande.
Cybermon 2025 : la campagne « Vaincre le boss » est désormais disponible toute l'année dans SCW. La guerre de sécurité avancée de l'IA/LLM tribale, le renforcement de l'IA de sécurité à grande échelle.
Interprétation de la loi sur la résilience des réseaux : que signifie la sécurité par le biais de la conception et du développement de logiciels ?
Comprenez les exigences de la loi européenne sur la résilience des réseaux (CRA), à qui elle s'applique et comment les équipes d'ingénierie peuvent s'y préparer grâce à des pratiques de conception, à la prévention des vulnérabilités et au renforcement des capacités des développeurs.
Facteur déterminant 1 : des critères de réussite clairs et mesurables
Le catalyseur n° 1 constitue le premier volet de notre série en dix parties consacrée aux facteurs de réussite. Il démontre comment relier la sécurité du code aux résultats opérationnels, tels que la réduction des risques et l'accélération de la maturité des programmes à long terme.
