API6 SSRF API

Définition

L'API6 Server-Side Request Forgery (SSRF) est le sixième risque de l'OWASP API Security Top 10, couvrant les vulnérabilités SSRF dans les APIs. Une SSRF API survient quand une API accepte une URL fournie par le client et effectue une requête vers cette URL depuis le serveur, sans valider suffisamment la destination. L'attaquant peut ainsi amener le serveur à effectuer des requêtes vers des ressources internes normalement inaccessibles depuis Internet. Dans le contexte des microservices et APIs modernes, l'API6 SSRF est particulièrement dangereuse car les APIs sont souvent déployées dans des environnements cloud (AWS, GCP, Azure) où le service de métadonnées des instances (http://169.254.169.254/ pour AWS) est accessible depuis le serveur. Un attaquant exploitant une SSRF API peut récupérer les credentials IAM de l'instance cloud, obtenir les tokens d'accès, et prendre le contrôle de l'ensemble de l'infrastructure. Les manifestations courantes de l'API6 SSRF incluent : les endpoints de téléchargement de ressources distantes (fetch resource from URL, importation de données, webhooks), les endpoints de rendering de contenu distant (génération de screenshots de pages web, parsing de feeds RSS), les endpoints de vérification d'URLs (test de connexion), et les intégrations de services tiers utilisant des URLs fournies par l'utilisateur. La remédiation de l'API6 SSRF combine plusieurs contrôles : validation de l'URL par allowlist (uniquement les domaines explicitement autorisés), refus des résolutions DNS vers des adresses privées (RFC1918), interdiction des schémas non-HTTP (file://, gopher://, dict://), et utilisation de bibliothèques de requête HTTP avec protection anti-SSRF intégrée (ssrf-filter pour Node.js, bogon pour Python). Les déploiements cloud doivent désactiver l'accès au service de métadonnées depuis les instances d'application si non nécessaire (Instance Metadata Service v2 avec token obligatoire sur AWS).