Decompression and Archive Extraction Vulnerabilities: A Taxonomy of 21 Attack Mechanisms Across 1,067 Public Cases (2001–2026)
Cet article présente une taxonomie unifiée de 21 mécanismes d'attaque et un inventaire étiqueté de 1 067 cas publics (2001–2026) afin de classer de manière exhaustive les vulnérabilités de décompression et d'extraction d'archives, révélant que le traversée de chemin domine le paysage tout en soulignant des lacunes importantes dans la documentation des mesures d'atténuation et offrant de nouvelles ressources pour la recherche future.
Article original sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Chaque jour, un logiciel accomplit un acte discret mais essentiel : il ouvre des paquets numériques. Qu'un utilisateur télécharge un fichier, installe une application ou reçoive une pièce jointe par e-mail, l'ordinateur doit décompresser les données compressées pour les rendre utilisables. Ce processus, appelé décompression, est la clé qui déverrouille le contenu d'une archive numérique. Cependant, le mécanisme qui ouvre ces paquets peut parfois échouer de manière dangereuse. Lorsqu'un attaquant envoie un fichier spécialement conçu, le logiciel peut être trompé pour créer une quantité massive de données à partir d'une infime entrée, provoquant ainsi le plantage du système. Il peut être forcé d'écrire des fichiers dans les mauvais dossiers, écrasant ainsi des données système critiques. Ou bien, le logiciel peut simplement mal interpréter la structure du fichier, entraînant une rupture. Ces défaillances ne sont pas de simples incidents isolés ; elles constituent une classe persistante de failles de sécurité qui menacent tout, des ordinateurs personnels aux serveurs qui font fonctionner Internet.
Un chercheur nommé Eugen Spivak a passé des années à examiner les registres publics de ces défaillances pour comprendre précisément comment elles se produisent. En examinant plus de mille cas documentés de vulnérabilités logicielles, Spivak a créé une nouvelle carte du problème. Au lieu de traiter chaque erreur comme un incident unique, l'étude les regroupe en vingt et un modes d'attaque distincts. Ces méthodes se répartissent en quatre catégories principales : des situations où la sortie est beaucoup plus grande que l'entrée, des erreurs où le logiciel lit mal la structure du fichier, des défaillances où différentes parties du système interprètent le même fichier de manière différente, et des erreurs où le logiciel enregistre des fichiers au mauvais endroit. L'objectif était de dépasser la collection éparpillée de rapports de bugs individuels pour créer une image claire et unifiée de la manière dont ces attaques fonctionnent.
L'étude a analysé 1 067 cas publics de ces vulnérabilités, collectés dans des bases de données officielles entre 2001 et septembre 2026. La conclusion la plus frappante est que la défaillance la plus courante n'est pas un tour mathématique complexe ou une erreur de mémoire profonde, mais une simple erreur sur l'endroit où les fichiers sont enregistrés. Dans près de 70 pour cent des cas, le logiciel extrayait les fichiers dans le mauvais dossier, permettant à un attaquant d'écraser des fichiers système importants ou de planter un code malveillant. Ce type spécifique d'erreur, souvent appelé « traversée de chemin » (path traversal), se produit lorsque le logiciel ne vérifie pas correctement la destination d'un fichier avant de l'écrire. La recherche montre que ce problème se trouve le plus souvent non pas dans les bibliothèques de base qui effectuent le déballage, mais dans le code de l'application qui utilise ces bibliothèques. En d'autres termes, les outils eux-mêmes sont souvent sûrs, mais les programmes qui appellent les outils oublient fréquemment de définir les limites appropriées.
Une autre partie importante des cas implique des « bombes de décompression ». Ce sont des fichiers conçus pour s'étendre en quelque chose d'énorme, submergeant la mémoire ou le stockage de l'ordinateur. L'étude a révélé que dans beaucoup de ces cas, le logiciel disposait d'un contrôle de sécurité, mais que ce contrôle était incomplet. Il pouvait faire confiance à un nombre déclaré à l'intérieur du fichier lui-même, ou il pouvait cesser de vérifier après un certain point du processus. Cela signifie que la défense existait, mais qu'elle ne couvrait pas tous les chemins possibles que les données pouvaient prendre. La recherche a également noté un changement dans la manière dont ces attaques arrivent. Bien que beaucoup arrivent encore sous forme de fichiers ou de paquets, un nombre croissant est désormais envoyé via le réseau sous forme de messages, ciblant directement les serveurs et les services en ligne.
Malgré la fréquence de ces problèmes, les registres publics les décrivant sont souvent vagues. L'étude a constaté que dans seulement environ 8 pour cent des cas, le rapport officiel décrivait explicitement ce que le correctif a réellement fait. La plupart des registres indiquaient simplement qu'une nouvelle version du logiciel était disponible, sans expliquer le changement spécifique qui rendait le programme sûr. Ce manque de détails rend plus difficile pour les équipes de sécurité de comprendre la cause profonde et de protéger leurs systèmes. De plus, l'étude a souligné que les registres officiels omettent souvent toute une catégorie d'erreurs où deux logiciels différents lisent le même fichier de manières conflictuelles. Ces « écarts sémantiques » sont difficiles à repérer dans les rapports publics, mais sont reconnus comme étant une menace réelle sur le terrain.
Les données ont également révélé une forte augmentation du nombre de ces rapports en 2026. Cependant, le chercheur note avec prudence que cette augmentation reflète un changement dans la façon dont les vulnérabilités sont trouvées et signalées, plutôt qu'une explosion soudaine du nombre d'attaques réelles. Cette hausse pourrait être due à de meilleurs outils de détection, à des changements dans la façon dont les rapports sont étiquetés, ou à un changement de terminologie. Ce qui est certain, c'est que le registre audité montre une tendance claire : les défaillances les plus courantes et les plus dangereuses sont celles où le logiciel écrit des fichiers au mauvais endroit, et ces défaillances sont le plus souvent imputables au code de l'application qui enveloppe les outils d'extraction.
L'étude conclut par un ensemble de recommandations pratiques pour les personnes qui construisent et maintiennent des logiciels. Elle suggère que les développeurs de bibliothèques documentent clairement ce que leurs outils protègent et ne protègent pas, et que les développeurs d'applications doivent prendre la responsabilité de vérifier où les fichiers sont enregistrés. Elle appelle également à de meilleures normes de signalement, exhortant les avis de sécurité à stipuler explicitement ce que le correctif fait, plutôt que de simplement pointer vers une nouvelle version. En apportant ces changements, l'industrie peut passer d'une posture réactive de correction de bugs individuels à une approche proactive de compréhension et de prévention des mécanismes sous-jacents. Le travail ne prétend pas avoir résolu le problème ou avoir testé toutes les défenses possibles, mais il fournit la première carte complète du terrain, montrant exactement où le sol est le plus susceptible de céder.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.