Falsification de requête côté serveur (SSRF)
SSRF · server-side request forgery · falsification de requête côté serveur
Faille qui permet à un attaquant de faire envoyer, par le serveur lui-même, des requêtes vers des adresses de son choix, y compris vers des systèmes internes normalement inaccessibles depuis Internet.
En pratique
Elle apparaît dans les fonctions qui vont chercher une ressource à partir d’une URL fournie : aperçu de lien, import d’image, webhook, conversion de document. Le serveur, situé à l’intérieur du réseau, devient le relais de l’attaquant : il peut interroger des services d’administration internes ou le service de métadonnées du cloud, qui délivre parfois des clés d’accès. Catégorie à part dans l’édition 2021, la SSRF est rattachée au contrôle d’accès défaillant (A01) dans l’OWASP Top 10:2025.
En mars 2021, la faille ProxyLogon des serveurs Microsoft Exchange (CVE-2021-26855) était une SSRF : un attaquant non authentifié pouvait se faire passer pour le serveur lui-même. Enchaînée à d’autres failles, elle a permis d’exécuter du code à distance sur des serveurs de messagerie dans le monde entier.
Comment s’en protéger
- N’autoriser que des destinations prévues (liste blanche) et construire l’URL côté serveur.
- Désactiver le suivi des redirections et bloquer les adresses internes et de métadonnées.
- Chez votre fournisseur cloud, activer la version protégée du service de métadonnées (IMDSv2 chez AWS).
- Isoler le composant qui effectue les requêtes dans un réseau sans accès aux systèmes internes.
