Traversée de répertoires (path traversal)
path traversal · directory traversal · traversée de chemin · parcours de répertoires · CWE-22
Faille qui permet à un attaquant de sortir du dossier prévu par l’application en manipulant un nom de fichier, pour lire ou écrire des fichiers sensibles ailleurs sur le serveur.
En pratique
Elle apparaît quand une application reçoit un nom ou un chemin de fichier (téléchargement, image, modèle, archive à décompresser) et l’utilise sans contrôle. En remontant l’arborescence, l’attaquant peut lire des fichiers de configuration contenant des mots de passe ou des clés, voire déposer un fichier exécutable. La faille est connue et évitable ; pourtant, en mai 2024, le catalogue de la CISA des failles activement exploitées en comptait 55 de ce type.
En mai 2024, la CISA et le FBI ont consacré une alerte « Secure by Design » à cette faille, après des campagnes exploitant notamment CVE-2024-1708 dans le logiciel d’accès à distance ConnectWise ScreenConnect, qui ont touché des secteurs critiques, dont la santé.
Comment s’en protéger
- Ne jamais construire un chemin à partir d’une saisie brute : utiliser des identifiants générés et une table de correspondance.
- Normaliser le chemin, puis vérifier qu’il reste dans le dossier autorisé.
- Restreindre les caractères acceptés dans les noms de fichiers (lettres et chiffres).
- Exécuter l’application avec un compte qui n’accède qu’à ses propres fichiers.
