Attaque
Élévation de privilèges
Aussi appeléPrivilege escalationEscalade de privilèges
En résumé
L’obtention de droits supérieurs à ceux accordés au départ, soit en accédant à un rôle plus puissant (élévation verticale), soit en accédant aux ressources d’un autre utilisateur de même niveau (élévation horizontale). Elle transforme un accès limité en contrôle d’un compte administrateur ou d’un système.
Élévation de privilèges, en détail
On distingue l’élévation verticale, où un utilisateur ordinaire obtient des droits d’administrateur, et l’élévation horizontale, où il accède aux données d’un pair sans changer de niveau. Dans une application, la cause est presque toujours un contrôle d’autorisation absent ou incomplet : une fonction d’administration accessible par son URL sans vérification du rôle, un champ « rôle » modifiable dans une requête, un jeton dont les droits ne sont pas revalidés côté serveur.
Sur un système d’exploitation ou un annuaire, l’élévation exploite des configurations permissives plutôt que des erreurs de code : service tournant avec des droits excessifs, tâche planifiée modifiable par tous, mot de passe d’administrateur local identique sur plusieurs postes, délégations trop larges dans Active Directory. Dans le cloud, le schéma est le même avec des rôles IAM (gestion des identités et des accès) dont les permissions permettent de s’en attribuer de nouvelles. La défense repose sur le principe du moindre privilège : définition, sur la revue régulière des droits effectifs plutôt que des droits déclarés, et sur la séparation des comptes d’administration et des comptes de travail quotidien. Les tests d’intrusion cherchent les chemins qui permettent de passer d’un niveau à l’autre.
Qu’est-ce que cela change pour vous ?
Une compromission initiale de faible portée devient une compromission majeure dès qu’un chemin d’élévation existe. La question utile pour un RSSI n’est pas seulement « peut-on entrer ? » mais « jusqu’où monte-t-on depuis le compte le moins privilégié ? ».
Exemple illustratif (fictif)
Par exemple, dans une application de gestion, un compte « lecteur » appelle directement l’API de création d’utilisateurs, dont seul le masquage du bouton dans l’interface interdit l’usage. Si le serveur ne vérifie jamais le rôle, le lecteur peut se créer un compte administrateur.
La confusion fréquente
Penser qu’un bouton masqué ou un menu absent constitue un contrôle d’accès. Une interface qui ne propose pas une action n’empêche pas d’envoyer directement la requête correspondante.
Comment le détecter chez vous ?
- Pentest web : la prestationSavoir ce qu’un attaquant obtiendrait sur votre application.
- Pentest interne : la prestationSimuler ce qui se passe après l’ouverture de la première pièce jointe.
Aller plus loin
- ArticleRançongiciel : les chemins les plus courts dans un Active DirectoryLes quelques configurations qui, dans de nombreux audits internes, mènent d’un poste utilisateur ordinaire à l’administration du domaine, et comment les fermer.
- ArticlePréparer un test d’intrusion : la liste de contrôle avant la missionCe qu’il faut réunir avant le premier jour de test pour ne pas perdre un tiers du budget en mise en place, côté technique, organisationnel et juridique.
- ComparatifConformité ou sécurité technique : ISO 27001, NIS 2 ou test d’intrusion ?On peut être conforme et vulnérable, solide et non conforme. Ce que couvre une démarche de conformité (ISO 27001, NIS 2), ce que mesure une démarche technique, et dans quel ordre les mener.
Termes liés
- AttaqueIDOR / BOLA : définitionUn défaut de contrôle d’accès où l’application sert l’objet demandé sans vérifier qu’il appartient à l’utilisateur authentifié.
- DéfenseMoindre privilège : définitionLe principe selon lequel chaque utilisateur, application ou service ne dispose que des droits strictement nécessaires à sa tâche, pour la durée nécessaire.
- AttaqueMouvement latéral : définitionL’ensemble des techniques qu’un attaquant utilise, une fois entré dans un réseau, pour passer d’une machine ou d’un compte à d’autres afin d’atteindre ses objectifs.
- AttaqueChemin d’attaque Active Directory : définitionUne suite de relations de confiance, de droits et de configurations dans Active Directory qui permet de passer d’un compte ou d’une machine compromise à un compte administrateur du domaine.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début