API10 Unsafe Consumption of APIs

Définition

API10 Unsafe Consumption of APIs est le dixième risque de l'OWASP API Security Top 10 (2023), traitant des vulnérabilités qui surviennent quand une API consomme des données provenant d'autres APIs tierces ou partenaires de manière non sécurisée. Ce risque illustre une réalité des architectures microservices modernes : la sécurité d'une API n'est plus uniquement déterminée par son propre code, mais aussi par la manière dont elle traite les données provenant des APIs qu'elle consomme. L'idée fondamentale de l'API10 est que les APIs tierces intégrées peuvent être des sources de données non fiables, même si elles appartiennent à des partenaires de confiance. Un partenaire peut être compromis, peut retourner des données malveillantes (injection, XSS payloads, données oversized), ou peut avoir des contrats de données différents de ceux attendus. Une API qui traite les données de ses partenaires API avec la même confiance que ses propres données internes est vulnérable. Les manifestations de l'API10 incluent : une API qui récupère des données d'un service tiers et les stocke directement en base de données sans validation (injection SQL si le service tiers est compromis), une API qui génère du contenu HTML/JavaScript à partir de données tierces sans échappement (XSS stocké), une API qui effectue des redirections vers des URLs retournées par un service tiers sans validation (open redirect), et une API qui accepte des payloads d'une taille ou d'un format non anticipé depuis un service partenaire (DoS, parsing error). La remédiation de l'API10 requiert d'appliquer les mêmes mesures de validation et de sanitization aux données provenant d'APIs tierces qu'aux données provenant d'utilisateurs finaux non fiables : validation du schéma, limitation de taille, échappement du contenu, et isolation des données tierces avant tout traitement ou stockage.