Chaînage de vulnérabilités pour un impact accru

L’enchaînement de vulnérabilités consiste à combiner plusieurs vulnérabilités de faible gravité en une seule chaîne d’exploitation dont l’impact global est plus élevé. Une chaîne composée de SSRF + accès à IMDS + vol d’identifiants IAM a un impact bien plus important que chacun de ses composants évalué isolément.

Les programmes récompensent l’impact, et non le nombre individuel de vulnérabilités. Un XSS de faible gravité combiné à un contournement du XSS auto-déclenché et à un CSRF permettant de le déclencher peut constituer une chaîne de prise de contrôle de compte méritant une récompense élevée ou critique, plutôt que trois soumissions distinctes de faible gravité.

Le XSS auto-déclenché est normalement rejeté (vous vous attaquez vous-même). Mais combinez-le avec un CSRF qui force une victime à déclencher la charge utile XSS dans sa session. L’attaquant peut alors exécuter un JS arbitraire dans le contexte de la victime et prendre le contrôle de son compte. Deux constats de faible gravité forment une chaîne critique.

Une falsification de requête côté serveur (SSRF) qui n’atteint que l’infrastructure interne (généralement de gravité moyenne) devient critique lorsqu’elle est enchaînée avec un accès au service de métadonnées AWS EC2 (169.254.169.254) permettant de voler des identifiants IAM, puis d’utiliser ces identifiants pour obtenir un accès complet au compte AWS.

Une redirection ouverte sur example.com permet de rediriger les réponses d’autorisation OAuth vers une URL contrôlée par l’attaquant. En la combinant avec un dispositif d’hameçonnage, l’attaquant peut voler des codes d’autorisation OAuth, les échanger côté serveur et obtenir un accès complet au compte. Deux constats de gravité moyenne forment une chaîne critique.

Une injection de l’en-tête Host dans les e-mails de réinitialisation de mot de passe permet de faire pointer le lien de réinitialisation d’une victime vers un serveur contrôlé par l’attaquant. Lorsque la victime clique dessus, l’attaquant reçoit le jeton de réinitialisation et prend le contrôle du compte : l’injection de l’en-tête Host (faible) devient une prise de contrôle de compte (critique).

Réfléchissez à ce que fournit chaque vulnérabilité : SSRF = capacité à envoyer des requêtes depuis le serveur, XSS = exécution de JS dans le navigateur de la victime, CSRF = possibilité de forcer des actions authentifiées, redirection ouverte = contrôle de la destination de la redirection. Reliez ce que fournit l’une à ce qu’exige l’autre.

Lorsque vous signalez une chaîne, démontrez chaque étape avec des requêtes et des réponses HTTP distinctes. Montrez la condition préalable → le déclenchement de la première vulnérabilité → ce qu’elle fournit X → l’utilisation de X par la seconde vulnérabilité pour obtenir Y → l’impact final. Chaque maillon de la chaîne doit être prouvé et non théorique.

Composants de grande valeur pour les chaînes : divulgation d’informations (révèle des IP internes et des noms d’utilisateur), SSRF (accès interne), redirection ouverte (pivot pour le vol de jetons), XSS (exécution de JS), CSRF (forçage d’actions), IDOR (accès à d’autres ressources), JWT faible (falsification de session). Apprenez bien chacun d’eux.

Consignez les constats apparemment peu impactants pendant la reconnaissance au lieu de les écarter. Un paramètre réfléchi n’acceptant que des valeurs numériques peut être utilisable dans une chaîne. Suivez vos constats dans un système local de prise de notes et réexaminez-les lorsque vous découvrez des éléments qui les relient.

Ne démontrez les chaînes que dans la mesure nécessaire pour prouver leur impact. Si une SSRF permet d’accéder à IMDS, montrez les identifiants renvoyés, mais ne les utilisez pas réellement. Documentez le chemin d’escalade sans l’exploiter entièrement, afin d’éviter de causer un préjudice réel.

Pourquoi les vulnérabilités de XSS auto-déclenché sont-elles souvent rejetées isolément, mais deviennent-elles utiles dans des chaînes ?

L’enchaînement de vulnérabilités transforme des constats de faible gravité en chaînes d’exploitation à fort impact. En comprenant ce que fournit chaque vulnérabilité et ce qu’elle permet, les chercheurs combinent SSRF + IMDS, XSS + CSRF et redirection ouverte + vol OAuth afin de démontrer un impact critique et de maximiser leurs récompenses.