Des chercheurs en s\u00e9curit\u00e9 ont d\u00e9couvert une nouvelle vuln\u00e9rabilit\u00e9 appel\u00e9e ParseThru<\/strong> affectant les applications bas\u00e9es sur Golang qui pourraient \u00eatre utilis\u00e9es de mani\u00e8re abusive pour obtenir un acc\u00e8s non autoris\u00e9 aux applications bas\u00e9es sur le cloud.<\/p>\n “La vuln\u00e9rabilit\u00e9 r\u00e9cemment d\u00e9couverte permet \u00e0 un acteur mena\u00e7ant de contourner les validations sous certaines conditions, en raison de l’utilisation de m\u00e9thodes d’analyse d’URL non s\u00e9curis\u00e9es int\u00e9gr\u00e9es dans le langage”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 isra\u00e9lienne de cybers\u00e9curit\u00e9 Oxeye dans un communiqu\u00e9. rapport<\/a> partag\u00e9 avec The Hacker News.<\/p>\n Le probl\u00e8me, \u00e0 la base, est li\u00e9 aux incoh\u00e9rences r\u00e9sultant des changements introduits dans la logique d’analyse d’URL de Golang qui est impl\u00e9ment\u00e9e dans la biblioth\u00e8que “net\/url”.<\/p>\n Alors que les versions du langage de programmation ant\u00e9rieures \u00e0 1.17 traitaient les points-virgules comme un d\u00e9limiteur de requ\u00eate valide (par exemple, example.com?a=1;b=2&c=3), ce comportement a depuis \u00e9t\u00e9 modifi\u00e9 pour g\u00e9n\u00e9rer une erreur lors de la recherche d’une cha\u00eene de requ\u00eate contenant un point-virgule.<\/p>\n “Les packages net\/url et net\/http acceptaient “;” (point-virgule) comme s\u00e9parateur de param\u00e8tres dans les requ\u00eates d’URL, en plus de “&” (esperluette)”, selon le notes de version<\/a> pour la version 1.17 sortie en ao\u00fbt dernier.<\/p>\n “D\u00e9sormais, les param\u00e8tres avec des points-virgules non cod\u00e9s en pourcentage sont rejet\u00e9s et les serveurs net\/http consignent un avertissement dans ‘Server.ErrorLog’ lorsqu’ils en rencontrent un dans une URL de demande.”<\/p>\n Le probl\u00e8me survient lorsqu’une API publique bas\u00e9e sur Golang et construite sur la version 1.17 ou ult\u00e9rieure communique avec un service backend ex\u00e9cutant une version ant\u00e9rieure, ce qui conduit \u00e0 un sc\u00e9nario dans lequel un acteur malveillant pourrait faire passer des requ\u00eates incorporant des param\u00e8tres de requ\u00eate qui seraient autrement rejet\u00e9s.<\/p>\n En termes simples, l’id\u00e9e est d’envoyer des requ\u00eates contenant un point-virgule dans la cha\u00eene de requ\u00eate, qui est ignor\u00e9e par l’API Golang orient\u00e9e utilisateur mais est trait\u00e9e par le service interne. Ceci, \u00e0 son tour, est rendu possible gr\u00e2ce au fait que une des m\u00e9thodes<\/a> responsable de l’obtention de la cha\u00eene de requ\u00eate analys\u00e9e supprime silencieusement l’erreur renvoy\u00e9e.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/Une-nouvelle-etude-revele-que-la-plupart-des-fournisseurs-dentreprise.png\")
<\/a><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/1659449911_262_La-nouvelle-vulnerabilite-de-contrebande-de-parametres-ParseThru-affecte-les.jpg\")
<\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/1659449911_732_La-nouvelle-vulnerabilite-de-contrebande-de-parametres-ParseThru-affecte-les.jpg\")
<\/div>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1656663365_395_Amazon-corrige-discretement-la-vulnerabilite-de-gravite-elevee-dans-lapplication.jpg\")
<\/a><\/div>\n