CVE-2026-40175 : Axios Prototype Pollution RCE [Critique]

Les faits

Divulguée le 10 avril 2026 avec un score CVSS de 10.0, le maximum absolu, la CVE-2026-40175 frappe Axios, le client HTTP basé sur les promesses le plus utilisé de l'écosystème JavaScript. Cette vulnérabilité de pollution de prototype ouvre la voie à une exécution de code arbitraire à distance sur les serveurs affectés, sans authentification préalable. Avec plus de 50 millions de téléchargements hebdomadaires sur npm, Axios est intégré dans d'innombrables applications web, API backend, pipelines d'intégration continue et outils d'automatisation à travers le monde, ce qui place la CVE-2026-40175 parmi les failles de chaîne d'approvisionnement logicielle les plus critiques de l'année. Les équipes de développement et les responsables sécurité doivent identifier sans délai les versions vulnérables présentes dans leurs dépendances directes et transitives, puis appliquer les correctifs publiés en priorité absolue.

La vulnérabilité repose sur une chaîne d'attaque de type « Gadget » : toute faille de Prototype Pollution présente dans une dépendance tierce du projet peut être escaladée en exécution de code à distance (RCE) ou en compromission cloud complète via un contournement du mécanisme AWS IMDSv2. Ce contournement permet à un attaquant d'extraire les credentials temporaires des instances EC2, ouvrant la porte à une prise de contrôle totale de l'infrastructure cloud.

Cette vulnérabilité est d'autant plus préoccupante qu'elle survient dans un contexte tendu pour Axios : fin mars 2026, les versions 1.14.1 et 0.30.4 du package npm avaient été compromises dans une attaque de supply chain distincte, distribuant un cheval de Troie d'accès à distance (RAT) multiplateforme. Bien que les deux incidents soient techniquement distincts, ils soulignent la surface d'attaque considérable que représente cette bibliothèque omniprésente.

Impact et exposition

L'impact est massif en raison de l'adoption quasi universelle d'Axios dans l'écosystème JavaScript. Tout projet Node.js ou application frontend utilisant une version d'Axios inférieure à 1.15.0, combinée à une dépendance tierce vulnérable à la Prototype Pollution, est potentiellement exploitable. Les environnements cloud AWS sont particulièrement menacés par le vecteur de contournement IMDSv2, qui permet l'extraction de credentials d'instance EC2.

Les applications serveur (API REST, microservices, fonctions Lambda) sont les cibles prioritaires car elles combinent souvent des dépendances multiples et un accès au réseau interne ou aux métadonnées cloud. Le vecteur d'attaque est exploitable à distance si l'attaquant peut influencer les données traitées par une dépendance vulnérable à la Prototype Pollution dans la chaîne de dépendances du projet.

Recommandations immédiates

• Mettre à jour Axios vers la version 1.15.0 dans tous les projets — exécuter npm audit ou yarn audit pour identifier les versions vulnérables
• Auditer l'ensemble de la chaîne de dépendances pour détecter d'éventuelles vulnérabilités de Prototype Pollution (npm audit --production)
• Vérifier que les instances EC2 utilisent bien IMDSv2 en mode obligatoire avec un hop limit de 1 pour limiter l'exposition des credentials
• Scanner les projets pour détecter l'utilisation des versions npm compromises (1.14.1 et 0.30.4) liées à l'attaque de supply chain de mars 2026
• Mettre en place un monitoring des appels réseau sortants inhabituels depuis vos applications Node.js

Techniquement, la chaîne d'exploitation repose sur la manière dont Axios fusionne les objets de configuration lors de la construction des requêtes. Si une dépendance tierce expose une pollution de prototype via des méthodes comme merge(), extend() ou une désérialisation JSON non filtrée, un attaquant peut injecter des clés __proto__ ou constructor.prototype qui altèrent le comportement interne d'Axios — notamment le résolveur d'URL et le gestionnaire de proxy. En pratique, cela permet de forcer une requête interne à cibler 169.254.169.254 (le service de métadonnées AWS) tout en contournant les en-têtes de session normalement requis par IMDSv2, exposant ainsi les access keys temporaires du rôle IAM attaché à l'instance EC2.

Vecteur d'attaque détaillé

• Vecteur CVSS : AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — attaque réseau sans authentification, complexité faible, impact total sur confidentialité, intégrité et disponibilité, avec changement de portée (compromission au-delà du composant vulnérable).
• Condition préalable : présence d'au moins une dépendance vulnérable à la Prototype Pollution dans l'arbre de dépendances (directe ou transitive) du projet Node.js.
• Cible privilégiée : services backend exécutés sur AWS EC2, ECS ou Elastic Beanstalk utilisant des rôles IAM à privilèges élevés.
• Versions corrigées : 1.15.0 pour la branche principale ; aucun correctif rétroporté n'est prévu pour les branches 0.x, qu'il convient de migrer immédiatement.

La correction officielle introduit un durcissement du merge d'objets via Object.create(null) et une validation stricte des clés interdites (__proto__, prototype, constructor) avant toute fusion de configuration, ainsi qu'une revalidation systématique du jeton de session IMDSv2 à chaque appel réseau interne, empêchant sa réutilisation détournée.

Pour la détection, plusieurs approches complémentaires sont recommandées : exécuter npm audit ou pnpm audit pour identifier les versions vulnérables dans le lockfile, générer un SBOM (via Syft ou CycloneDX) pour cartographier les dépendances transitives exposées à la Prototype Pollution, et utiliser Socket.dev ou Snyk pour surveiller en continu les nouvelles chaînes de gadgets exploitant cette CVE. Côté cloud, il est également conseillé d'auditer les logs CloudTrail à la recherche d'appels anormaux à GetCallerIdentity ou de requêtes sortantes inhabituelles vers l'adresse de métadonnées, signes potentiels d'une tentative d'exfiltration de credentials via ce vecteur.