Étiquette : Sécurité
-
Des règles d’URL qui s’appliquent partout, pas seulement dans un pare-feu
Les mêmes options que security.access_control, une autre portée. Et un accident silencieux qui attend quiconque déplace une règle sans supprimer l’originale.
-
Onze lignes d’en-tête, et pas un point de terminaison de plus
Ma conférence à l’API Platform Con, par écrit : les en-têtes du socle, CORS face à CORP, l’isolation, et la configuration qui va avec.
-
AEAD sans l’étiquette : une histoire de ChaCha20-Poly1305
L’étiquette d’authentification était calculée, puis jetée. Ce qui restait ressemblait à un AEAD et n’authentifiait rien. GHSA-6vvh-pxr4-25r7.
-
Un nombre, un déni de service : PBES2 et p2c
Un algorithme fondé sur un mot de passe laisse le jeton dire combien d’itérations exécuter. Rien ne disait que ce devait être un nombre raisonnable. GHSA-3prj-6hqw-cm82.
-
Un oracle de remplissage dans RSA1_5, et ce qu’est un rejet à temps constant
Distinguer un mauvais remplissage d’un bon suffit à déchiffrer sans la clé. Bleichenbacher, vingt-sept ans plus tard, et le correctif qui ressemble à ne rien faire.
-
Confusion d’algorithme : quand alg vient du mauvais en-tête
Un seul étalement de tableau, et l’algorithme auquel se fie un vérificateur venait d’un en-tête que personne n’avait signé. GHSA-jc38-x7x8-2xc8, trouvée et corrigée dans le JWT-Framework.