Typ útoku
BOPLA – narušená autorizácia vlastností objektu
API sprístupní alebo dovolí meniť citlivé vlastnosti objektu, ku ktorým používateľ nemá mať prístup, vrátane excessive data exposure a mass assignment.
Prečo je tento scenár dôležitý
Útočník skúma odpovede alebo schému API a identifikuje skryté či privilegované polia. Následne ich číta alebo posiela v požiadavke, aby získal citlivé dáta, zmenil rolu, stav účtu, cenu, limity alebo iné chránené atribúty.
Riešenie vyžaduje explicitné povolenie čitateľných a zapisovateľných polí, kontrolu autorizácie na úrovni vlastnosti, minimálne dátové odpovede, validačné schémy a testy negatívnych scenárov.
Scenár používa MITRE ATT&CK® ako referenčný model. Ide o odbornú interpretáciu SecTec a neznamená schválenie alebo odporúčanie zo strany MITRE.
Relevantné taktiky ATT&CK
- Collection
- Impact
- Initial Access
Relevantné techniky ATT&CK
Referenčné rámce
Technológie a vendori SecTec
Nasledujúca hierarchia je odvodená zo schváleného mapovania ATT&CK na technológie a technológií na vendorov.