Em uma API que apresenta a vulnerabilidade conhecida
como BOLA (Broken Object Level Authorization), há o risco
de que

Question

Em uma API que apresenta a vulnerabilidade conhecida
como BOLA (Broken Object Level Authorization), há o risco
de que Alternativa A: apesar de corretamente autenticado, um solicitante
de requisições à API possa obter dados relacionados a objetos ou recursos aos quais não deveria ter
acesso. Ou Alternativa B: a segurança do protocolo HTTPS seja quebrada,
sendo possível que o atacante decripte requisições
e respostas obtidas via monitoramento da comunicação por sniffer de rede. Ou Alternativa C: código SQL malicioso seja injetado no banco de dados da aplicação por meio de formulários web que
não são devidamente validados. Ou Alternativa D: código JavaScript malicioso, introduzido por um atacante, possa ser executado no navegador de usuários que acessam o front-end web da aplicação. Ou Alternativa E: ocorra estouro de pilha na aplicação que provê o serviço de back-end devido ao excesso de chamadas
recursivas à mesma função.

Qconcursos · Accepted Answer

Alternativa [A] apesar de corretamente autenticado, um solicitante
de requisições à API possa obter dados relacionados a objetos ou recursos aos quais não deveria ter
acesso. Gabarito: AFundamento decisivo: O elemento decisivo é a falha de autorização em nível de objeto na API, e não um problema de autenticação, criptografia ou injeção.Tema central: BOLA em APIsAnálise das alternativasACertaA alternativa A está correta porque descreve o núcleo do BOLA: a autenticação pode estar correta, mas a API falha na autorização sobre o objeto ou recurso solicitado. O critério técnico é a verificação de permissão em nível de objeto; quando ela não é feita adequadamente, um usuário autenticado consegue acessar dados de outro usuário ou de outro recurso ao manipular o identificador exposto pela API.BErradaEstá errada porque trata de quebra da segurança do HTTPS e decriptação de tráfego capturado, o que diz respeito à confidencialidade do canal criptográfico. BOLA não é falha de criptografia nem de proteção do transporte, mas de autorização sobre objetos.CErradaEstá errada porque descreve SQL Injection, isto é, injeção de código SQL por entrada não validada. Esse problema é de injeção em banco de dados, enquanto BOLA é controle de acesso inadequado a objeto ou recurso da API.DErradaEstá errada porque descreve execução de JavaScript malicioso no navegador, que caracteriza XSS. O foco de BOLA não é script no cliente, e sim autorização insuficiente sobre o objeto requisitado à API.EErradaEstá errada porque fala em estouro de pilha por recursão excessiva, que é falha de execução ou robustez da aplicação. Isso não envolve checagem de permissão nem exposição indevida de objeto, portanto não corresponde a BOLA.Pegadinha da questãoA confusão real era achar que, por o usuário estar autenticado, não haveria vulnerabilidade; em BOLA, a autenticação pode existir e ainda assim faltar a autorização correta para o objeto específico.Dica para questões semelhantesEm BOLA, procure falha de autorização sobre um objeto ou recurso específico.

Em uma API que apresenta a vulnerabilidade conhecida como B...

Gabarito comentado

Gabarito: A

Clique para visualizar este gabarito

Questões de assuntos semelhantes

Provas relacionadas