CSP Bypass

Définition

Le Content Security Policy (CSP) Bypass désigne les techniques permettant de contourner les politiques de sécurité de contenu mises en place pour prévenir les attaques XSS et les injections de données. Une CSP bien configurée spécifie les sources autorisées pour les scripts, styles, images et connexions réseau, limitant fortement l'impact d'une XSS. Les bypasses CSP permettent d'exploiter une XSS malgré une CSP en place. Les faiblesses courantes des CSP incluent : les wildcard dans les sources (*.googleapis.com permet l'exécution de JSONP Google qui peut être exploité), l'autorisation de 'unsafe-inline' (permet l'exécution de scripts inline, neutralisant la protection XSS de la CSP), l'autorisation de 'unsafe-eval' (permet eval(), setTimeout avec string, Function constructor), les sources trop larges (CDNs hébergeant du code utilisateur comme jsdelivr.net, unpkg.com, codepen.io permettent l'injection de scripts via ces domaines autorisés), et les endpoints JSONP ou Angular dans les domaines autorisés. Des techniques de bypass avancées incluent : JSONP bypass (trouver un endpoint JSONP sur un domaine autorisé dans la CSP, injecter le callback avec du code malveillant), DOM clobbering (utiliser des éléments HTML pour écraser des variables JavaScript et influencer la logique du code légitime), et l'exploitation d'applets obsolètes ou de SVG avec des scripts (si object-src n'est pas restreint). L'outil CSP Evaluator (Google) analyse les politiques CSP et identifie les faiblesses. Des projets comme CSP-Bypass sur GitHub documentent les techniques connues par BYPASSE. La base de données de JSONP (jsonp.now) liste les endpoints JSONP connus sur des CDNs et services populaires. Une CSP robuste nécessite : des nonces ou hashes pour les scripts inline légitimes (au lieu de unsafe-inline), des sources explicites et minimales, l'absence de unsafe-eval, une restriction de object-src à 'none', et default-src 'none' avec des directives explicites pour chaque type de ressource.