Command Injection (Injection de commande OS)

Définition

L'injection de commande OS, ou Command Injection, est une vulnérabilité critique permettant à un attaquant d'exécuter des commandes système arbitraires directement sur le système d'exploitation hébergeant une application vulnérable, avec les privilèges du processus exécutant celle-ci. Elle survient lorsqu'une application intègre des données contrôlées par l'utilisateur au sein d'un appel système exécuté via des fonctions comme exec(), system() ou popen() en C et PHP, ou leurs équivalents dans d'autres langages (subprocess en Python, Runtime.exec() en Java), sans validation ni échappement adéquat des métacaractères shell susceptibles de modifier le comportement de la commande construite. Un attaquant exploite typiquement des séparateurs de commande shell, point-virgule, double esperluette, pipe, ou des mécanismes de substitution de commande, pour injecter une commande secondaire entièrement distincte de celle initialement prévue par le développeur de l'application, transformant ainsi un simple paramètre applicatif attendu, comme un nom de fichier ou une adresse IP à interroger, en un vecteur d'exécution de code arbitraire. Cette vulnérabilité figure parmi les plus critiques de l'OWASP Top 10 en raison de son impact potentiel maximal, souvent équivalent à une compromission complète du serveur hébergeant l'application. La prévention repose sur l'évitement systématique des appels shell directs, remplacés par des API structurées prenant des arguments séparés plutôt qu'une chaîne de commande brute concaténée.