Server-Side Template Injection (SSTI)

Définition

La Server-Side Template Injection (SSTI) est une vulnérabilité web qui survient quand des entrées utilisateur sont incorporées dans des templates côté serveur sans assainissement suffisant, permettant à l'attaquant d'injecter des directives de template qui seront interprétées par le moteur de templating et peuvent conduire à l'exécution de code arbitraire sur le serveur. Les moteurs de templates côté serveur (Jinja2 pour Python, Twig pour PHP, Freemarker pour Java, Pebble, Thymeleaf, Smarty, ERB pour Ruby, etc.) permettent d'incorporer des expressions et du code dans des templates HTML. Quand des données utilisateur sont directement interpolées dans la chaîne de template (plutôt que passées comme variable au template), l'attaquant peut injecter des expressions du moteur. Le test basique est l'injection de {{7*7}} : si la réponse affiche 49 (au lieu de la chaîne littérale), le moteur de template interprète l'expression, confirmant la vulnérabilité. La syntaxe varie selon le moteur : {{...}} pour Jinja2/Twig, ${...} pour Freemarker, <%=...%> pour ERB. L'exploitation via Jinja2 (Python) peut mener à l'exécution de commandes : {{config.items()}} pour accéder à la configuration, {{''.__class__.__mro__[2].__subclasses__()[40]('/etc/passwd').read()}} pour lire des fichiers (en utilisant la MRO Python pour accéder à la classe file), et {{''.__class__.__mro__[1].__subclasses__()[59].__init__.__globals__['__builtins__']['__import__']('os').system('id')}} pour exécuter des commandes. Des outils comme Tplmap automatisent la détection et l'exploitation des SSTI pour de nombreux moteurs de templates. La SSTI est souvent plus dangereuse que le XSS car elle s'exécute côté serveur avec les privilèges du processus web.