CyberGlossary

Vulnerabilidades

Controlo de acesso quebrado

Também conhecido como: BAC, Bypass de autorização

Definição

Classe de vulnerabilidades em que as regras de autorização estão em falta ou são aplicadas incorretamente, permitindo a utilizadores ações ou dados fora dos seus privilégios.

O controlo de acesso quebrado é o risco nº 1 do OWASP Top 10. Surge quando uma aplicação não aplica de forma consistente quem pode fazer o quê: ausência de verificações no servidor, dependência de URLs ocultos (segurança pela obscuridade), confiança em papéis enviados pelo cliente ou referências diretas a objetos sem verificação de propriedade. Variantes: IDOR, navegação forçada para páginas admin, contornos por manipulação de parâmetros e alteração de scopes em JWT. O impacto vai da fuga de informação à tomada total. Defesas: middleware central de autorização, negação por defeito, aplicação no servidor para cada ação, consultas com scope, testes de integração robustos e DAST contínuo.

Exemplos

  • Utilizador comum a chamar /api/admin/users sem verificação de papel obtendo a lista completa.
  • Alterar o UUID de um documento no URL para ler a fatura de outro cliente.

Termos relacionados