Les références directes d'objets non sécurisées (IDOR) sont une classe de vulnérabilités de contrôle d'accès où une application expose une référence directe à un objet d'implémentation interne, comme une clé de base de données ou un nom de fichier, sans vérifications d'autorisation appropriées. Les attaquants peuvent exploiter cela en modifiant simplement l'identifiant dans une requête pour accéder ou modifier des ressources appartenant à d'autres utilisateurs. Ce problème est particulièrement répandu dans les API RESTful où les identifiants de ressources sont souvent séquentiels et prévisibles.
La détection implique généralement des tests manuels avec plusieurs comptes utilisateur, des outils de scan automatisés qui fuzzent les identifiants d'objets, et une revue de code approfondie de la logique d'autorisation. Les outils courants incluent Burp Suite, OWASP ZAP et des scripts personnalisés qui comparent les réponses dans différents contextes utilisateur. L'impact d'IDOR peut aller de la fuite de données à la prise de contrôle complète du compte, ce qui en fait une découverte prioritaire dans les évaluations de sécurité.
Les stratégies d'atténuation incluent la mise en œuvre de contrôles d'autorisation robustes au niveau des objets, l'utilisation d'identifiants imprévisibles (par exemple, UUID) et l'application de la validation côté serveur des permissions utilisateur pour chaque accès aux ressources. Des tests de sécurité réguliers et l'adoption d'un modèle de confiance zéro pour la conception des API sont essentiels pour prévenir ces défauts. Alors que les API continuent de proliférer, IDOR reste une préoccupation majeure pour les équipes de sécurité du monde entier.