Race Condition (Vulnérabilité de condition de course)

Définition

Une race condition, ou condition de course, est une vulnérabilité qui survient lorsque le comportement correct d'un système dépend de l'ordre relatif ou du timing précis d'événements exécutés de manière concurrente, et que cet ordre normalement attendu peut être délibérément manipulé par un attaquant pour obtenir un résultat non prévu par les concepteurs du système. Dans le contexte spécifique de la sécurité applicative, la variante TOCTOU (Time-of-Check to Time-of-Use) constitue la forme la plus fréquemment exploitée : un attaquant modifie une ressource, un fichier, une valeur en base de données ou un solde de compte, précisément dans le court intervalle temporel séparant le moment où l'application vérifie une condition donnée, par exemple la propriété ou le solde disponible, du moment où elle utilise effectivement cette ressource pour exécuter une action, exploitant cette fenêtre de vulnérabilité pour faire valider une condition qui n'est déjà plus vraie au moment de son utilisation réelle. Cette classe de vulnérabilité s'est révélée particulièrement critique dans les systèmes financiers et de paiement, où des attaques par requêtes multiples envoyées simultanément ont permis d'exploiter des fenêtres de course pour retirer ou dépenser des fonds au-delà du solde réellement disponible. La prévention repose sur des mécanismes de verrouillage atomique (locking) ou des transactions garantissant l'isolation complète des opérations concurrentes sensibles.