SSRF — Server-Side Request Forgery (Falsification de requête côté serveur)

Définition

La Server-Side Request Forgery (SSRF) est une vulnérabilité permettant à un attaquant de forcer le serveur à effectuer des requêtes HTTP vers des ressources internes ou externes arbitraires, au nom du serveur lui-même. L'attaquant manipule une fonctionnalité légitime de l'application (import d'URL, prévisualisation web, récupération de webhook) pour cibler des services non exposés publiquement : APIs cloud internes (metadata endpoint AWS 169.254.169.254), services sur le réseau interne, ou localhost. Dans les environnements cloud, le SSRF est particulièrement dangereux car il permet d'accéder aux métadonnées de l'instance contenant des credentials IAM temporaires. Classée A10 dans OWASP Top 10 2021, cette vulnérabilité a permis de grandes compromissions cloud. La défense implique la validation stricte des URLs par whitelist, la désactivation des redirections HTTP automatiques, la mise en place d'un proxy sortant filtrant, et l'utilisation d'IMDSv2 (Instance Metadata Service v2) sur AWS qui requiert un token de session.