OAuth Misconfiguration
hackingDéfinition
Erreurs de configuration OAuth 2.0 exploitables : redirect_uri non validé, state CSRF absent, code_challenge manquant, token leakage via Referer, permettant vol de tokens d'accès.
Description
Les misconfiguration OAuth 2.0 exposent des failles exploitables : redirect_uri non validé permettant le vol du code d'autorisation, absence du paramètre state causant des vulnérabilités CSRF, absence de PKCE (code_challenge), et fuite de tokens via le header Referer.
Exploitation
Un redirect_uri mal validé permet à l'attaquant de récupérer le code d'autorisation en faisant pointer la redirection vers son domaine. Avec ce code, il obtient un access token avec les droits de la victime sur l'application tierce.
Défense
- Valider strictement le redirect_uri par correspondance exacte avec une liste blanche enregistrée
- Implémenter le paramètre state CSRF et le PKCE pour les applications publiques
- Utiliser des durées de vie courtes pour les codes d'autorisation (< 1 minute)
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis