Attaque
IDOR / BOLA
Aussi appeléIDORBOLAInsecure Direct Object ReferenceBroken Object Level Authorization
En résumé
Un défaut de contrôle d’accès où l’application sert l’objet demandé sans vérifier qu’il appartient à l’utilisateur authentifié. Changer un identifiant dans une URL ou un corps de requête suffit alors à lire ou modifier les données d’un autre client.
IDOR / BOLA, en détail
IDOR signifie Insecure Direct Object Reference, référence directe non sécurisée à un objet. BOLA, Broken Object Level Authorization, est le nom que l’OWASP donne au même défaut dans les API. Le mécanisme est simple : l’application reçoit une requête du type /factures/48213, vérifie que l’utilisateur est connecté (authentification), mais ne vérifie pas qu’il a le droit de consulter cette facture précise (autorisation). Les deux contrôles sont distincts, et l’oubli du second est la cause du défaut.
Ce défaut échappe aux scanners automatiques, parce que la réponse est un succès HTTP bien formé : rien dans la réponse ne signale qu’elle ne devait pas être servie. Il se détecte avec deux comptes de test, idéalement dans deux organisations distinctes, en rejouant les requêtes de l’un avec les identifiants de l’autre. Utiliser des identifiants aléatoires (UUID) complique l’énumération, mais ne corrige rien : un identifiant qui fuite dans un lien partagé, un journal ou une autre réponse d’API redonne l’accès. Le correctif durable est un contrôle d’autorisation côté serveur, exécuté à chaque accès à un objet et centralisé dans une couche commune plutôt que réécrit endpoint par endpoint. Il se complète de tests automatisés qui vérifient, pour chaque ressource, qu’un utilisateur d’une organisation reçoit un refus sur les objets d’une autre.
Qu’est-ce que cela change pour vous ?
Un IDOR expose les données de vos clients les uns aux autres sans qu’aucune intrusion technique ne soit nécessaire. Il peut constituer une violation de données personnelles à notifier à la CNIL dans un délai de 72 heures, et il se rencontre surtout sur les plateformes multi-locataires.
Exemple illustratif (fictif)
Imaginons une plateforme SaaS multi-locataires : un utilisateur du plan gratuit remplace l’identifiant d’une facture par un autre dans l’appel d’export PDF et reçoit la facture d’une autre organisation. Aucun scanner ne signalerait le point d’accès, car la réponse est un succès parfaitement valide.
La confusion fréquente
Croire qu’un identifiant aléatoire (UUID) ou une authentification forte protège contre l’IDOR. L’authentification établit qui vous êtes, pas ce que vous avez le droit de lire ; un identifiant difficile à deviner reste utilisable dès qu’il est connu.
Comment le détecter chez vous ?
- Pentest API : la prestationLes API portent les données et moins de garde-fous que les interfaces.
- Pentest web : la prestationSavoir ce qu’un attaquant obtiendrait sur votre application.
Aller plus loin
- ArticleIDOR et BOLA : une faille coûteuse pour les plateformes SaaSPourquoi un simple identifiant modifiable figure en tête de l’OWASP API Security Top 10, pourquoi aucun scanner ne la trouve, et comment la supprimer par conception.
- ArticleLire un rapport de scan de vulnérabilités : ce qu’il prouve et ce qu’il rateUn rapport de scan est une liste de candidats, pas de faits : faux positifs, gravité hors contexte, zones non atteintes. Comment le lire et le vérifier.
- ComparatifScan ou test d’intrusion : lequel choisir, critère par critère ?Un scan automatisé et un test d’intrusion portent des noms proches, mais ne répondent pas à la même question et ne coûtent pas le même prix. Critères, situations et erreur d’achat la plus fréquente.
Termes liés
- AttaqueÉlévation de privilèges : définitionL’obtention de droits supérieurs à ceux accordés au départ, soit en accédant à un rôle plus puissant (élévation verticale), soit en accédant aux ressources d’un autre utilisateur de même niveau (élévation horizontale).
- AttaqueFaille de logique métier : définitionUn défaut dans les règles propres à une application, exploitable en utilisant ses fonctions de façon légitime mais dans un ordre, un contexte ou une combinaison que ses concepteurs n’avaient pas prévus.
- MéthodeTest d’intrusion : définitionUne simulation d’attaque autorisée et encadrée, menée par des analystes, qui cherche à démontrer ce qu’un attaquant pourrait obtenir sur un périmètre défini.
- TechniqueScan de vulnérabilités : définitionUne analyse automatisée qui compare un système (serveur, application, réseau) à une base de défauts connus : versions vulnérables, configurations par défaut, en-têtes manquants.
- TechniqueOWASP Top 10 : définitionLe classement, publié par la fondation OWASP, des dix catégories de risques de sécurité les plus critiques pour les applications web.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début