YAML Bomb

Les vulnérabilités de désérialisation YAML représentent une classe critique de failles de sécurité dans les applications qui analysent des fichiers de configuration YAML. Quand les applications utilisent des fonctions de chargement YAML non sécurisées - particulièrement yaml.load() de Python sans spécifier un loader sûr - les attaquants peuvent intégrer du code exécutable dans les documents YAML qui s'exécute pendant le processus d'analyse. Cette vulnérabilité est de plus en plus pertinente à mesure que les organisations adoptent des pratiques de configuration-as-code et que YAML devient le format dominant pour la configuration d'applications, les définitions d'infrastructure et les pipelines CI/CD.

Comprendre les risques de désérialisation YAML

YAML (YAML Ain't Markup Language) est un format de sérialisation de données lisible par l'homme largement utilisé dans les outils DevOps comme Kubernetes, Docker Compose, Ansible et GitHub Actions. La spécification YAML inclut une fonctionnalité puissante mais dangereuse : la capacité de représenter des objets arbitraires de langages de programmation en utilisant des tags de type. Dans la bibliothèque PyYAML de Python, la fonction yaml.load() avec le Loader par défaut peut instancier n'importe quel objet Python, y compris ceux qui exécutent des commandes lors de leur construction.

Un payload YAML malveillant peut utiliser des constructeurs de type spécifiques à Python pour exécuter des commandes arbitraires lorsque le fichier YAML est analysé. Cela signifie que toute application acceptant des entrées YAML provenant de sources non fiables - portails de téléchargement de configuration, endpoints d'API, systèmes CI/CD ou processeurs de fichiers - peut être exploitée pour l'exécution de code à distance si elle utilise la désérialisation non sécurisée.

Impact réel

Les vulnérabilités de désérialisation YAML ont affecté des plateformes et outils majeurs. Des incidents notables incluent des vulnérabilités dans Ruby on Rails (CVE-2013-0156), SnakeYAML pour Java, et de nombreuses applications Python utilisant PyYAML. L'impact est particulièrement sévère dans les environnements DevOps où les fichiers YAML s'exécutent souvent avec des privilèges élevés pour la gestion d'infrastructure. Un fichier de configuration compromis peut mener à la prise de contrôle complète de l'infrastructure.

Traitement YAML sécurisé

La correction pour les applications Python est simple : toujours utiliser yaml.safe_load() au lieu de yaml.load(). Le loader sûr ne permet que les types YAML basiques (chaînes, nombres, listes, dictionnaires) et refuse de construire des objets Python arbitraires. Pour les applications nécessitant un support de types personnalisés, l'utilisation de yaml.load avec un SafeLoader explicitement configuré et des constructeurs enregistrés fournit une alternative contrôlée. La revue de code et l'analyse statique doivent signaler toute utilisation de fonctions de chargement YAML non sécurisées.