Prototype Pollution Hunter

Le prototype pollution est une vulnérabilité critique de JavaScript qui permet aux attaquants de modifier le prototype des objets de base, affectant potentiellement chaque objet d'une application. À mesure que les applications web modernes s'appuient de plus en plus sur des frameworks JavaScript complexes et des backends Node.js, la compréhension du prototype pollution est devenue essentielle pour les professionnels de la sécurité et les développeurs.

Comment fonctionnent les prototypes JavaScript

JavaScript utilise un modèle d'héritage basé sur les prototypes. Chaque objet possède un lien interne vers un autre objet appelé son prototype, formant une chaîne de prototypes qui mène ultimement à Object.prototype. Lorsqu'une propriété est accédée sur un objet, JavaScript vérifie d'abord l'objet lui-même, puis parcourt la chaîne de prototypes jusqu'à ce que la propriété soit trouvée ou que la chaîne se termine. Ce mécanisme d'héritage est puissant mais crée un risque de sécurité significatif lorsque les attaquants peuvent manipuler la chaîne de prototypes.

Comprendre les attaques par prototype pollution

Le prototype pollution se produit lorsqu'un attaquant peut injecter des propriétés dans Object.prototype à travers des modèles de code vulnérables. Le vecteur d'attaque le plus courant implique des fonctions de fusion récursive d'objets ou de copie profonde qui ne nettoient pas correctement les clés de propriétés. Lorsque l'entrée contrôlée par l'utilisateur contient des clés comme __proto__ ou constructor.prototype, l'opération de fusion écrit dans le prototype au lieu de l'objet cible. Cela signifie que chaque objet de l'application hérite des propriétés polluées, ce qui peut potentiellement remplacer les vérifications de sécurité, permettre l'escalade de privilèges ou provoquer un déni de service.

Impact réel du prototype pollution

Des vulnérabilités de prototype pollution ont été découvertes dans des packages npm largement utilisés, notamment lodash, jQuery et express-fileupload. Dans des attaques réelles, le prototype pollution a été combiné avec d'autres vulnérabilités pour obtenir l'exécution de code à distance dans des applications Node.js. Les scénarios d'exploitation courants incluent le contournement de l'authentification en polluant les propriétés isAdmin, la manipulation de moteurs de templates pour obtenir l'exécution de code côté serveur et l'empoisonnement d'objets de configuration d'application. Les chercheurs en sécurité et les testeurs d'intrusion doivent comprendre comment identifier et exploiter le prototype pollution pour évaluer efficacement les applications JavaScript modernes.