La vulnérabilité des références directes () est un type de vulnérabilité de contrôle d'accès en sécurité numérique.
Description Ce type de faille peut apparaitre lorsqu'une application web ou une interface de programmation utilise un identifiant pour accéder directement à un objet dans une base de données interne sans effectuer de contrôle d'accès ni d'authentification. Par exemple, si l'URL de la requête envoyée directement à un site web utilise un identifiant unique facilement identifiable (par exemple : https://example.com/document/1234), cela peut permettre un accès non autorisé à tous les fichiers.
Une attaque par traversée de répertoire est considérée comme un cas particulier d'IDOR.
Cette vulnérabilité est si préoccupante qu'elle figure depuis de nombreuses années dans le top 10 principales vulnérabilités par le projet OWASP (Open Web Application Security Project).
Des identifiants consécutifs peuvent être convertis en clés aléatoires (UUID par exemple) à l'aide de différentes techniques.
Exemples En , la société Silent Breach identifie une vulnérabilité IDOR sur le site web du département de la Défense des États-Unis et la signale de manière confidentielle par l'intermédiaire de son programme de signalement des vulnérabilités. Le problème est corrigé par l'ajout d'un mécanisme de session utilisateur au système de comptes, exigeant une authentification préalable sur le site.
Il est rapporté que le réseau social Parler utilisait des identifiants de publication séquentiels, ce qui aurait permis d'extraire des téraoctets de données du service en . Le chercheur responsable a toutefois démenti.
Références
Catégorie:Hacking (sécurité informatique)