ClearDesk

A vulnerabilidade IDOR (Insecure Direct Object Reference) é uma falha crítica de controle de acesso que ocorre quando uma aplicação web expõe referências internas a objetos - como IDs de banco de dados, nomes de arquivo ou identificadores de recursos - sem verificar se o usuário solicitante está autorizado a acessá-los. IDOR é uma das vulnerabilidades mais comumente descobertas em aplicações web e APIs, aparecendo frequentemente em programas de bug bounty e engajamentos de testes de penetração.

Como funcionam as vulnerabilidades IDOR

Aplicações que usam identificadores previsíveis (como inteiros sequenciais) em suas URLs ou endpoints de API são particularmente suscetíveis a ataques IDOR. Por exemplo, se acessar /api/tickets/15 retorna seu ticket de suporte, mudar o ID para /api/tickets/16 pode retornar o ticket de outro usuário se o servidor não verificar a propriedade. A distinção chave é entre autenticação (verificar quem você é) e autorização (verificar o que você pode acessar). Muitas aplicações implementam a autenticação corretamente mas falham na autorização, criando vulnerabilidades IDOR que permitem escalação horizontal de privilégios.

IDOR em APIs REST

APIs REST são especialmente propensas a IDOR porque comumente expõem identificadores de recursos diretamente nos caminhos de URL. Endpoints de API para operações CRUD em dados de usuário, documentos, pedidos ou tickets frequentemente usam IDs sequenciais ou previsíveis. Quando combinado com ferramentas de enumeração automatizadas, um atacante pode sistematicamente acessar cada recurso no sistema, extraindo dados sensíveis pertencentes a todos os usuários. Em casos mais graves, IDOR pode ser encadeado com outras vulnerabilidades - como roubo de credenciais ou path traversal - para escalar de divulgação de dados para comprometimento completo do sistema.

Prevenindo vulnerabilidades IDOR

A prevenção eficaz requer implementar verificações de autorização adequadas em cada requisição para confirmar que o usuário autenticado tem permissão para acessar o recurso solicitado. Usar identificadores não previsíveis (como UUIDs em vez de inteiros sequenciais) adiciona defesa em profundidade, mas não deve ser considerado como a única proteção. Lógica de controle de acesso no lado do servidor, combinada com testes de segurança abrangentes que incluem manipulação de parâmetros e enumeração de recursos, é essencial para identificar e prevenir falhas IDOR em aplicações web.