Traversée de répertoires
La traversée de répertoires (également appelée « path traversal ») est une méthode de cyberattaque qui exploite les vulnérabilités des serveurs web et des applications web.
En règle générale, les administrateurs de serveurs web définissent un répertoire racine accessible aux utilisateurs, limitant ainsi les fichiers auxquels ceux-ci peuvent accéder à certains sous-répertoires. Toutefois, si les données saisies par l’utilisateur pour indiquer des noms de fichiers ou des chemins ne sont pas correctement assainies, un attaquant peut exploiter des séquences spécialement conçues, telles que « ../ », pour remonter (« traverser ») vers les répertoires parents. De telles vulnérabilités permettent à des utilisateurs malveillants de sortir du répertoire prévu et d’accéder sans autorisation à des fichiers et répertoires sensibles ou cachés, ce qui peut entraîner la divulgation d’informations ou la compromission du système.
Pour prévenir les attaques par traversée de répertoires, les administrateurs web doivent mettre en œuvre des mesures de sécurité, notamment en limitant les répertoires auxquels les scripts d’application peuvent accéder (par exemple, en configurant le paramètre « open_basedir » dans le fichier PHP « php.ini » afin de restreindre les chemins d’inclusion de fichiers). Lors de l’utilisation de serveurs web tels qu’Apache, il est essentiel de supprimer ou de désactiver l’option « Indexes » dans le fichier « httpd.conf » afin d’empêcher l’affichage du contenu des répertoires. Cet affichage permet aux attaquants de consulter le contenu des répertoires, révélant ainsi les conventions de nommage et facilitant de nouvelles tentatives d’exploitation.
En outre, les attaques par traversée de répertoires peuvent être efficacement atténuées grâce à l’utilisation de pare-feu applicatifs web (WAF). F5 propose une fonctionnalité WAF robuste dans F5 BIG-IP Application Security Manager (ASM), qui contribue à protéger contre la traversée de chemins et d’autres vulnérabilités web similaires.
