Le standard historique de connexion unique subit une remise en question majeure suite aux révélations faites lors du Black Hat Europe. Un chercheur a démontré comment des manipulations techniques permettent de contourner totalement les sécurités, exposant ainsi de nombreuses entreprises à des intrusions indétectables.
L’univers de la cybersécurité fait face à une nouvelle alerte concernant un pilier de l’authentification web. Depuis plus de deux décennies, le langage SAML (Security Assertion Markup Language) constitue l’épine dorsale des systèmes d’authentification unique (SSO) pour une multitude d’organisations. Cependant, des travaux récents présentés par des experts en sécurité mettent en lumière des vulnérabilités structurelles inquiétantes. Ces faiblesses permettent à des acteurs malveillants de tromper les systèmes de validation, remettant en cause la fiabilité de ce protocole omniprésent dans les échanges numériques sécurisés.
Une manipulation sophistiquée des signatures numériques
Les découvertes récentes soulignent la capacité des attaquants à exploiter les subtilités du traitement XML pour forcer les accès. Les infrastructures informatiques gèrent quotidiennement des millions de connexions vers des portails sensibles, incluant ceux où les collaborateurs consultent leur salaire brut en net, ce qui rend l’intégrité de ces protocoles d’authentification absolument vitale pour la confidentialité des données.
Zak Fedotkin, chercheur chez PortSwigger, a mis en évidence plusieurs méthodes permettant de contourner la validation des signatures XML tout en présentant un document qui apparaît comme parfaitement valide aux yeux de l’application cible.
Cette technique d’attaque repose sur des incohérences logiques au niveau du parseur XML. L’expert a dévoilé une panoplie de vecteurs d’attaque spécifiques qui fragilisent considérablement les écosystèmes, notamment ceux basés sur Ruby et PHP.
- Corruption des attributs : L’attaquant modifie les données sans invalider la signature globale.
- Confusion des espaces de nommage : Le système est trompé sur l’interprétation des balises XML.
- Attaques par canonisation : L’exploitation de la manière dont le document est standardisé avant validation permet d’injecter du code malveillant.
Une démonstration concrète a été réalisée sur une instance de GitLab Enterprise Edition. En combinant ces vulnérabilités, il devient possible de contourner les contrôles d’accès, de créer des comptes administrateurs frauduleux et de s’introduire sur des plateformes SaaS sans jamais disposer des identifiants légitimes.
L’urgence d’une modernisation face à l’obsolescence technique
La communauté de la sécurité informatique réagit face à ces menaces par le déploiement de correctifs, mais ces mesures semblent insuffisantes à long terme. Bien que des patchs aient été publiés pour colmater les brèches identifiées (référencées sous les codes CVE-2025-66568 et CVE-2025-66567), la problématique dépasse la simple mise à jour logicielle. Les experts insistent sur le fait que l’application des correctifs sur les bibliothèques de sécurité SAML et XML constitue une étape nécessaire, mais pas une solution définitive.
En effet, la structure même du protocole SAML, vieille de vingt ans, montre ses limites face aux techniques d’intrusion modernes. Une refonte en profondeur des bibliothèques existantes s’impose pour garantir une robustesse réelle contre ces classes d’attaques.
- Limites des correctifs : Les patchs résolvent des failles ponctuelles mais ne corrigent pas les erreurs de logique inhérentes au traitement XML complexe.
- Alternative OAuth : Ce standard plus récent offre une sécurité accrue et une maintenance facilitée, mais sa mise en œuvre reste complexe pour l’existant.
- Poids de l’héritage : La base installée de fournisseurs de services dépendant de SAML est si vaste que la transition vers des technologies plus sûres s’avère économiquement et techniquement difficile pour la majorité des entreprises.
Les spécialistes concluent qu’une restructuration importante des mécanismes de validation est indispensable. Sans cette évolution radicale, les systèmes d’information continueront d’être exposés aux mêmes typologies d’attaques qui persistent depuis la création du protocole.
