Race Condition (Vulnérabilité de condition de course)

Définition

Une race condition, ou condition de course, est une vulnérabilité survenant lorsque le comportement d'un système dépend de l'ordre relatif ou du timing d'événements concurrents, et que cet ordre peut être manipulé par un attaquant. Dans le contexte de la sécurité applicative, la race condition TOCTOU (Time-of-Check to Time-of-Use) est la plus exploitée : un attaquant modifie une ressource (fichier, objet, état) dans la fenêtre de temps entre sa vérification de sécurité et son utilisation réelle. Des exemples concrets incluent l'exploitation de transferts financiers parallèles pour obtenir des doubles remboursements, la manipulation de fichiers temporaires avec accès privilégié pour provoquer des élévations de privilèges, ou la contournement de validations anti-CSRF. La correction implique l'utilisation de transactions atomiques, de verrous (mutex, locks), et de primitives de synchronisation adaptées. Les tests de race conditions utilisent des outils comme Turbo Intruder de PortSwigger ou des scripts de requêtes parallèles massives.