A equipe de segurança da informação do TJRJ realizou um
pentest em uma aplicação web responsável pelo gerenciamento
de documentos. O pentester conseguiu manipular parâmetros de
uma requisição HTTP de forma a injetar um código Javascript
malicioso no servidor web. O código injetado foi
inadvertidamente inserido pelo servidor em meio a uma página
web devolvida a um usuário logado. O navegador web do usuário
logado executou o código malicioso e permitiu a exfiltração de
dados sensíveis.
Uma mitigação eficaz e imediata para esse tipo de ataque, em
conformidade com as recomendações do OWASP Top 10, é:

Question

A equipe de segurança da informação do TJRJ realizou um
pentest em uma aplicação web responsável pelo gerenciamento
de documentos. O pentester conseguiu manipular parâmetros de
uma requisição HTTP de forma a injetar um código Javascript
malicioso no servidor web. O código injetado foi
inadvertidamente inserido pelo servidor em meio a uma página
web devolvida a um usuário logado. O navegador web do usuário
logado executou o código malicioso e permitiu a exfiltração de
dados sensíveis.
Uma mitigação eficaz e imediata para esse tipo de ataque, em
conformidade com as recomendações do OWASP Top 10, é: Alternativa A: implementar um sistema de autenticação multifator (MFA)
para todos os usuários da aplicação; Ou Alternativa B: implementar um Web Application Firewall (WAF) com regras
de detecção de ataques XSS;  Ou Alternativa C: realizar uma análise estática do código-fonte da aplicação
para identificar e corrigir vulnerabilidades; Ou Alternativa D: utilizar Content Security Policy (CSP) para restringir as fontes
de onde o navegador pode carregar recursos; Ou Alternativa E: aplicar os devidos patches de segurança no servidor web e
bloquear o carregamento da página em navegadores
inseguros.

Qconcursos · Accepted Answer

Alternativa [D] utilizar Content Security Policy (CSP) para restringir as fontes
de onde o navegador pode carregar recursos; Gabarito: DFundamento decisivo: O enunciado descreve inserção de JavaScript malicioso na resposta web e sua execução no navegador da vítima, caracterizando XSS. Entre as alternativas, apenas a CSP atua como mitigação alinhada à OWASP para esse vetor.Tema central: Mitigação de XSSAnálise das alternativasAErradaIncorreta. MFA reforça autenticação, mas não impede que o navegador execute o JavaScript injetado nem evita a exfiltração causada pelo XSS.BErradaIncorreta. WAF com regras de XSS pode bloquear algumas cargas conhecidas, mas a OWASP não o aponta como a mitigação mais adequada para esse caso, por ser menos confiável e sujeito a bypass.CErradaIncorreta. Análise estática ajuda a identificar vulnerabilidades e apoiar correções, mas não é uma mitigação imediata do ataque já descrito no enunciado.DCertaA alternativa D está correta porque Content Security Policy é indicada pela OWASP como camada adicional de defesa contra XSS. Ao restringir scripts inline e remotos, a política pode impedir a execução do payload malicioso no navegador, o que atende ao pedido de uma mitigação eficaz e imediata. Isso não corrige a causa raiz da vulnerabilidade, mas é a opção que melhor se ajusta ao cenário descrito.EErradaIncorreta. Aplicar patches no servidor web e bloquear navegadores inseguros é medida genérica e não enfrenta necessariamente a falha de XSS descrita.Pegadinha da questãoA confusão estava em trocar mitigação imediata por correção da causa raiz ou por solução genérica de borda, como WAF.Dica para questões semelhantesSe o enunciado descreve script injetado e executado no navegador, identifique XSS e procure um controle que reduza o efeito do payload no cliente.Quando a questão pedir mitigação imediata, separe contenção rápida de correção definitiva da vulnerabilidade.Em questões da OWASP, não trate WAF como prevenção principal de XSS quando houver opção que atue diretamente sobre a execução de scripts, como CSP.

🎯 Saiba o que estudar

🎯 Saiba o que estudar

A equipe de segurança da informação do TJRJ realizou um pen...

Gabarito comentado

Gabarito: D

Clique para visualizar este gabarito

Comentários

Clique para visualizar este comentário

Questões de assuntos semelhantes

Provas relacionadas