CyberGlossary

Schwachstellen

Defekte Zugriffskontrolle

Auch bekannt als: BAC, Autorisierungs-Bypass

Definition

Schwachstellenklasse, in der Autorisierungsregeln fehlen oder falsch durchgesetzt werden, sodass Benutzer Aktionen oder Daten außerhalb ihrer Rechte erreichen.

Defekte Zugriffskontrolle ist das Risiko Nr. 1 der OWASP Top 10. Sie entsteht, wenn eine Anwendung nicht konsequent durchsetzt, wer was darf — fehlende serverseitige Prüfungen, Vertrauen in versteckte URLs (Security by Obscurity), Verlassen auf clientseitige Rollen, direkte Objektreferenzen ohne Eigentumsprüfung. Varianten: IDOR, Force-Browsing zu Admin-Seiten, Parameter-Tampering, Manipulation von JWT-Scopes. Folgen reichen von Informationsleck bis zur Komplettübernahme. Schutz: zentrale Autorisierungs-Middleware, Deny-by-Default, serverseitige Kontrollen jeder Aktion, gescopte Abfragen, gründliche Integrationstests, kontinuierliches DAST.

Beispiele

  • Normaler Nutzer ruft /api/admin/users ohne Rollenprüfung auf und erhält die Volle Liste.
  • Ändern einer Dokument-UUID in der URL, um die Rechnung eines anderen Kunden zu lesen.

Verwandte Begriffe