Горизонтальное повышение привилегий
Что такое Горизонтальное повышение привилегий?
Горизонтальное повышение привилегийУязвимость, позволяющая пользователю получить доступ к ресурсам или операциям другого пользователя того же уровня привилегий, не повышая свои права.
При горизонтальном повышении атакующий остаётся на том же уровне доверия, но обходит изоляцию между аккаунтами или тенантами: аккаунт A читает, изменяет или олицетворяет аккаунт B. Чаще всего причина — нарушенный контроль доступа: API доверяют клиентским идентификаторам (ID пользователей, номера счетов, GUID документов) без серверной проверки владельца. IDOR, предсказуемые идентификаторы, отсутствие тенант-скоупа и фиксация сессии — типичные корни. Последствия — от утечки данных до финансового мошенничества, особенно болезненны в мультитенантных SaaS. Защита: авторизация каждой объектной ссылки, ограничение запросов текущим пользователем/тенантом, неугадываемые идентификаторы и автоматические тесты на межаккаунтный доступ.
● Примеры
- 01
Изменение userId в /api/users/123/profile для просмотра профиля другого пользователя.
- 02
Мультитенантный баг в SaaS, позволяющий тенанту A видеть заказы тенанта B.
● Частые вопросы
Что такое Горизонтальное повышение привилегий?
Уязвимость, позволяющая пользователю получить доступ к ресурсам или операциям другого пользователя того же уровня привилегий, не повышая свои права. Относится к категории Уязвимости в кибербезопасности.
Что означает Горизонтальное повышение привилегий?
Уязвимость, позволяющая пользователю получить доступ к ресурсам или операциям другого пользователя того же уровня привилегий, не повышая свои права.
Как защититься от Горизонтальное повышение привилегий?
Защита от Горизонтальное повышение привилегий обычно сочетает технические меры и операционные практики, как описано в определении выше.
Какие есть другие названия Горизонтальное повышение привилегий?
Распространённые альтернативные названия: Горизонтальная EoP, Межаккаунтный доступ.