Schwachstellen
Defekte Zugriffskontrolle
Auch bekannt als: BAC, Autorisierungs-Bypass
Definition
Schwachstellenklasse, in der Autorisierungsregeln fehlen oder falsch durchgesetzt werden, sodass Benutzer Aktionen oder Daten außerhalb ihrer Rechte erreichen.
Beispiele
- Normaler Nutzer ruft /api/admin/users ohne Rollenprüfung auf und erhält die Volle Liste.
- Ändern einer Dokument-UUID in der URL, um die Rechnung eines anderen Kunden zu lesen.
Verwandte Begriffe
Unsichere direkte Objektreferenz (IDOR)
Zugriffskontrollschwäche, bei der eine Anwendung Referenzen auf interne Objekte exponiert und Nutzer diese ändern können, um auf fremde Daten zuzugreifen.
Horizontale Privilegieneskalation
Schwachstelle, mit der ein Benutzer auf Ressourcen oder Aktionen eines anderen Benutzers gleicher Rechtsebene zugreifen kann, ohne höhere Rechte zu erlangen.
Vertikale Privilegieneskalation
Schwachstelle, durch die ein Benutzer mit geringen Rechten Rechte einer höheren Rolle erhält — typischerweise Administrator, Root oder SYSTEM.
Defekte Authentifizierung
Schwachstellenkategorie, in der Fehler bei Authentifizierung oder Sitzungsverwaltung es Angreifern erlauben, legitime Nutzer zu impersonieren oder Konten zu übernehmen.
OWASP Top 10
OWASP Top 10 — definition coming soon.
Prinzip der geringsten Rechte
Sicherheitsprinzip, das jedem Nutzer, Prozess oder Dienst nur jene Rechte gewährt, die er zwingend für seine Aufgabe benötigt — nicht mehr.