CyberGlossary

Уязвимости

Горизонтальное повышение привилегий

Также известно как: Горизонтальная EoP, Межаккаунтный доступ

Определение

Уязвимость, позволяющая пользователю получить доступ к ресурсам или операциям другого пользователя того же уровня привилегий, не повышая свои права.

При горизонтальном повышении атакующий остаётся на том же уровне доверия, но обходит изоляцию между аккаунтами или тенантами: аккаунт A читает, изменяет или олицетворяет аккаунт B. Чаще всего причина — нарушенный контроль доступа: API доверяют клиентским идентификаторам (ID пользователей, номера счетов, GUID документов) без серверной проверки владельца. IDOR, предсказуемые идентификаторы, отсутствие тенант-скоупа и фиксация сессии — типичные корни. Последствия — от утечки данных до финансового мошенничества, особенно болезненны в мультитенантных SaaS. Защита: авторизация каждой объектной ссылки, ограничение запросов текущим пользователем/тенантом, неугадываемые идентификаторы и автоматические тесты на межаккаунтный доступ.

Примеры

  • Изменение userId в /api/users/123/profile для просмотра профиля другого пользователя.
  • Мультитенантный баг в SaaS, позволяющий тенанту A видеть заказы тенанта B.

Связанные термины