Broken Access Control
アクセス制御の不備とは、認可検証が欠落または回避可能であり、ユーザーが権限のない操作やリソースへ到達できてしまう状態である。
目的
認可の欠陥が引き起こす権限昇格とその防御を理解する。OWASP Top 10 2021 の第 1 位の脆弱性である。
メカニズム
欠陥には強制ブラウジング（/admin への直接アクセス）、IDOR、関数レベル検証の欠落、HTTP メソッドの迂回、JWT の役割改ざんがある。防御としてはサーバー側の認可検証、デフォルト拒否、ポリシーの一元化が挙げられる。
ユースケース
- 認可のセキュリティ監査
- 権限昇格のディフェンス
- アクセス制御の設計