Broken Access Control
Broken Access Control bezeichnet fehlende oder umgehbare Autorisierungsprüfungen, die es Nutzern erlauben, Aktionen auszuführen oder auf Ressourcen zuzugreifen, für die keine Berechtigung besteht.
Zweck
Die durch Autorisierungsmängel verursachte Privilegieneskalation und ihre Abwehr verstehen; es ist die Schwachstelle Nr. 1 im OWASP Top 10 2021.
Mechanismus
Zu den Schwachstellen zählen Forced Browsing (direkter Zugriff auf /admin), IDOR, fehlende Prüfung auf Funktionsebene, Umgehung von HTTP-Methoden und JWT-Rollenmanipulation. Abwehr: serverseitige Autorisierungsprüfungen, Standard-Deny, zentrale Richtlinie.
Anwendungsfälle
- Sicherheitsaudit der Autorisierung
- Schutz vor Privilegieneskalation
- Entwurf der Zugriffskontrolle
Verwandte Tools
JWT-Dekodierer
Decode and inspect JWT header, payload, and time claims with expiry status. Kostenlos, privat und 100% clientseitig. WERKZEUG
HTTP-Statuscodes-Referenz
Reference table of common HTTP status codes (1xx-5xx) with names, categories, and descriptions. Kostenlos, privat und 100% clientseitig. WERKZEUG