Detecção de Autorização Quebrada em Nível de Propriedade de Objeto

Visão Geral

Autorização Quebrada em Nível de Propriedade de Objeto (BOPLA), classificada como API3:2023 no OWASP API Security Top 10, combina duas classes de vulnerabilidade relacionadas: Exposição Excessiva de Dados (API retornando mais dados do que o necessário) e Atribuição em Massa (API aceitando mais dados do que o pretendido). Mesmo quando as APIs aplicam a autorização em nível de objeto corretamente, elas podem falhar em controlar quais propriedades específicas de um objeto um usuário pode ler ou modificar. Atacantes exploram isso lendo propriedades sensíveis de respostas da API ou injetando propriedades adicionais em corpos de requisição para modificar campos aos quais não deveriam ter acesso.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de autorização quebrada em nível de propriedade de objeto
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• API alvo com endpoints que retornam ou aceitam dados de objeto
• Documentação ou esquema da API (especificação OpenAPI preferida)
• Burp Suite ou Postman para manipulação de requisições de API
• Múltiplas contas de usuário com diferentes níveis de privilégio
• Python 3.8+ com a biblioteca requests para testes automatizados
• Autorização para realizar testes de segurança

Padrões de Vulnerabilidade

Exposição Excessiva de Dados

A API retorna propriedades de objeto que o cliente não precisa:

// GET /api/v1/users/123
// Response includes sensitive fields the UI doesn't display:
{
  "id": 123,
  "username": "john_doe",
  "email": "john@example.com",
  "name": "John Doe",
  "ssn": "123-45-6789",           // Sensitive - not needed by UI
  "salary": 95000,                 // Sensitive - not needed by UI
  "internal_notes": "VIP client",  // Internal - should not be exposed
  "password_hash": "$2b$12...",    // Critical - never expose
  "role": "admin",                 // May enable privilege discovery
  "created_by": "system_admin",   // Internal metadata
  "credit_card_last4": "4242"     // PCI compliance violation
}

Atribuição em Massa

A API vincula dados fornecidos pelo cliente a propriedades internas do objeto sem filtragem:

// Normal user update request
PUT /api/v1/users/123
Content-Type: application/json

{
  "name": "John Updated",
  "email": "new@example.com",
  "role": "admin",           // Attacker-injected: privilege escalation
  "is_verified": true,       // Attacker-injected: bypass verification
  "discount_rate": 100,      // Attacker-injected: business logic abuse
  "account_balance": 999999  // Attacker-injected: financial fraud
}

Metodologia de Teste

#!/usr/bin/env python3
"""Scanner de Vulnerabilidade BOPLA

Testa APIs para Autorização Quebrada em Nível de Propriedade de Objeto,
incluindo Exposição Excessiva de Dados e Atribuição em Massa.
"""

import requests
import json
import sys
from typing import Dict, List, Optional, Set
from dataclasses import dataclass, field
from copy import deepcopy

@dataclass
class BOPLAFinding:
    endpoint: str
    method: str
    vulnerability_type: str  # "excessive_exposure" ou "mass_assignment"
    severity: str
    property_name: str
    details: str

class BOPLAScanner:
    SENSITIVE_PROPERTY_PATTERNS = {
        "critical": [
            "password", "password_hash", "secret", "token", "api_key",
            "private_key", "secret_key", "access_token", "refresh_token",
        ],
        "high": [
            "ssn", "social_security", "tax_id", "credit_card", "card_number",
            "cvv", "bank_account", "routing_number",
        ],
        "medium": [
            "salary", "income", "internal_notes", "admin_notes",
            "created_by", "modified_by", "ip_address", "session_id",
            "role", "permissions", "is_admin", "is_superuser", "privilege",
        ],
        "low": [
            "phone", "address", "date_of_birth", "dob", "age",
            "gender", "ethnicity", "religion",
        ]
    }

    MASS_ASSIGNMENT_FIELDS = [
        ("role", "admin"),
        ("is_admin", True),
        ("is_verified", True),
        ("is_active", True),
        ("email_verified", True),
        ("account_type", "premium"),
        ("discount_rate", 100),
        ("credit_limit", 999999),
        ("permissions", ["admin", "write", "delete"]),
        ("account_balance", 999999),
        ("subscription_tier", "enterprise"),
        ("rate_limit", 999999),
    ]


…