SSRF — Server-Side Request Forgery (Falsification de requête côté serveur)

Définition

La Server-Side Request Forgery, ou SSRF, est une vulnérabilité permettant à un attaquant de forcer le serveur d'une application à effectuer, en son nom propre, des requêtes HTTP vers des ressources internes ou externes qu'il n'aurait normalement jamais dû pouvoir cibler directement depuis l'extérieur du système. L'attaquant détourne à cette fin une fonctionnalité légitime existante de l'application, un import de contenu depuis une URL fournie, une génération de prévisualisation web, ou la réception d'un webhook, en manipulant le paramètre destiné à recevoir une URL pour cibler à la place des services internes normalement non exposés publiquement : interfaces d'administration accessibles uniquement depuis le réseau interne, bases de données écoutant sur des ports non exposés à Internet, ou, particulièrement critique en environnement cloud, les services de métadonnées d'instance (IMDS) exposant par défaut des identifiants temporaires et des rôles IAM attachés à la machine virtuelle hébergeant l'application vulnérable. L'exploitation réussie d'un SSRF contre un service de métadonnées mal protégé, en l'absence de la protection IMDSv2 imposant un jeton de session sur AWS, permet fréquemment d'obtenir directement les credentials cloud sous-jacents, transformant une vulnérabilité applicative initialement modeste en une compromission complète du compte cloud hébergeant l'application. La prévention combine allowlisting strict des destinations autorisées et segmentation réseau renforcée.