Resumo Técnico: Autorização de Nível de Objeto Quebrada no Mundo Real

Declaração do Problema

A Autorização de Nível de Objeto Quebrada (BOLA) é consistentemente classificada como a vulnerabilidade mais crítica no Top 10 de Segurança de APIs da OWASP. Apesar de sua proeminência, a literatura existente sobre BOLA permanece quase inteiramente conceitual. As orientações atuais baseiam-se em exemplos ilustrativos, narrativas de casos únicos ou modelos abstratos de controle de acesso, carecendo de um relato empírico de como a BOLA se manifesta em ambientes de produção. Há uma lacuna significativa na compreensão da distribuição real dos padrões de BOLA, dos tipos específicos de identificadores envolvidos, das ações que os atacantes realizam e dos setores mais expostos. Além disso, a relação entre o mecanismo (Referência Direta Insegura a Objeto, ou IDOR) e a causa raiz (BOLA) é frequentemente confundida na literatura de profissionais e na etiquetagem de recompensas por bugs, levando a possíveis erros de medição em avaliações de segurança.

Metodologia

Este artigo apresenta uma análise empírica em grande escala de BOLA utilizando relatórios de recompensas por bugs divulgados publicamente como principal fonte de dados.

• Fonte de Dados: O estudo utilizou o conjunto de dados de divulgação pública do HackerOne Hacktivity, consultando relatórios etiquetados como "IDOR" ou "Controle de Acesso Impróprio" entre janeiro de 2021 e janeiro de 2026.
• Amostragem: Foi construído um quadro de amostragem reproduzível de 200 relatórios.
• Filtragem: Um filtro de inclusão de três critérios foi aplicado para garantir que os relatórios referenciassem um objeto concreto específico, demonstrassem acesso transverso a um objeto de outro usuário/locatário e contivessem detalhes técnicos. Isso reduziu a amostra para 122 relatórios elegíveis.
• Classificação: Um procedimento de conclusão de esquema assistido por LLM foi empregado usando uma taxonomia refinada de seis famílias de BOLA. O LLM atuou como um assistente de extração restrito sob critérios adjudicados por humanos. Saídas de baixa confiança e casos específicos de fronteira foram revisados por avaliadores humanos para garantir precisão.
• Conjunto de Dados Final: Dos 200 candidatos iniciais, 107 relatórios foram totalmente classificados. Destes, 84 (78,5%) foram confirmados como BOLA no escopo, enquanto 23 (21,5%) foram considerados fora do escopo ou inclassificáveis sob critérios rigorosos.

Principais Contribuições

1. Taxonomia Refinada: O artigo introduz uma taxonomia de BOLA de seis famílias fundamentada em divulgações reais, projetada para reduzir a ambiguidade entre avaliadores. As famílias são:
   • BOLA de Referência Direta a Objeto: Acesso não autorizado via substituição direta ou previsível de identificadores.
   • BOLA de Objeto em Nível de Ação: Ações de alteração de estado não autorizadas (excluir, modificar, acionar) em objeto de outro usuário.
   • BOLA de Isolamento de Locatário: Violações de acesso transorganizacionais.
   • BOLA de Contexto de Fluxo de Trabalho: Contornas de autorização dependentes do estado do objeto (por exemplo, rascunho, arquivado, excluído).
   • BOLA de Divulgação em Cadeia: Exploração que requer uma etapa anterior para coletar um identificador de um endpoint separado.
   • BOLA de Revinculação de Objeto: Manipulação de campos que identificam a propriedade na solicitação para alterar o escopo de autorização.
2. Estrutura Metodológica: Uma metodologia de classificação reproduzível, combinando assistência de LLM com revisão humana estruturada, é documentada para replicação.
3. Caracterização de Ruído de Rótulo: O estudo quantifica a divergência entre a etiquetagem da plataforma (IDOR/Controle de Acesso Impróprio) e a BOLA confirmada no escopo, revelando ruído de rótulo significativo.
4. Linha de Base Empírica: O artigo fornece distribuições quantitativas em seis dimensões: família, tipo de ação, direção de autorização, setor industrial, formato de identificador e mecanismo de exploração.

Principais Resultados

Com base nos 84 relatórios confirmados no escopo:

• Distribuição por Família: BOLA de Objeto em Nível de Ação (41,7%) e BOLA de Referência Direta a Objeto (36,9%) são as duas famílias dominantes, representando conjuntamente 78,6% dos casos. Isso indica que ações de alteração de estado não autorizadas são tão prevalentes quanto, ou mais prevalentes que, violações simples de acesso de leitura.
• Direção de Autorização: Falhas horizontais (pares entre si) dominam com 85,7%. No entanto, falhas verticais (usuário para administrador) representam 11,9%, um padrão frequentemente subrepresentado nas orientações para desenvolvedores, mas com alto impacto.
• Tipos de Ação: Embora a Leitura não autorizada seja a ação individual mais comum (52,4%), as ações de alteração de estado (Modificar, Excluir, Acionar) coletivamente representam 46,4% dos casos.
• Formatos de Identificador: Inteiros sequenciais permanecem o tipo de identificador mais frequentemente evidenciado (36,9% dos casos de formato conhecido). No entanto, formatos não sequenciais (UUIDs, IDs codificados, nomes de usuário, e-mails) representam 39,2% dos casos de formato conhecido, demonstrando que identificadores opacos não eliminam o risco de BOLA.
• Mecanismos de Exploração: Enumeração de inteiros sequenciais é o mecanismo mais prevalente (22,6%). IDs Globais do GraphQL (GIDs) são sistematicamente explorados através de um padrão de decodificar/incrementar/recodificar, pois os inteiros subjacentes permanecem sequenciais apesar da codificação base64.
• Ruído de Rótulo: Apenas 42,0% dos 200 relatórios amostrados etiquetados como IDOR/Controle de Acesso Impróprio foram confirmados como BOLA no escopo. Aproximadamente 21,5% dos relatórios classificados estavam fora do escopo sob critérios rigorosos, indicando que a contagem de etiquetas em plataformas como o HackerOne superestima significativamente o sinal específico de BOLA.
• Setor e Gravidade: SaaS & Produtividade domina o conjunto de dados (44,0%). Embora a mediana de gravidade seja Média, 35,7% dos relatórios são classificados como Alta ou Crítica, com a BOLA de Objeto em Nível de Ação carregando classificações de gravidade desproporcionalmente altas.

Significado e Alegações

O artigo afirma abordar a lacuna entre definições conceituais de BOLA e a realidade empírica. Seu significado reside em:

• Desafiar Orientações Predominantes: As descobertas sugerem que as orientações atuais para profissionais e exemplos da OWASP podem subestimar a BOLA de Objeto em Nível de Ação e a BOLA Vertical, focando excessivamente em cenários de referência direta a objetos, apenas leitura e horizontais.
• Implicações para Protocolos de Teste: O estudo argumenta que os protocolos padrão de teste de segurança de APIs, que frequentemente focam no acesso entre usuários via método GET, são insuficientes. Testes eficazes devem incluir operações de alteração de estado (POST, PUT, DELETE) e cenários de privilégio vertical.
• Implicações de Design: A persistência de inteiros sequenciais em programas de segurança maduros (por exemplo, GitHub, DoD, HackerOne) e a explorabilidade dos IDs Globais do GraphQL sugerem que a ofuscação de identificadores sozinha não é um controle suficiente. A autorização deve ser reavaliada quando os estados do objeto mudam (Contexto de Fluxo de Trabalho).
• Precisão de Medição: O artigo fornece evidências de que confiar nas etiquetas de plataformas de recompensas por bugs para estimativas de prevalência de vulnerabilidades introduz ruído significativo, necessitando de classificação mais rigorosa para avaliação precisa de risco.

Os autores concluem que seu trabalho fornece um vocabulário para cenários de ataque realistas, orientações de padrões concretos para desenvolvedores e uma linha de base empírica para pesquisadores que constroem ferramentas de detecção. Eles observam explicitamente limitações relacionadas a viés de seleção (cobertura do HackerOne), heterogeneidade na profundidade de divulgação e a concentração de relatórios de programas específicos (por exemplo, HackerOne e DoD), qualificando suas descobertas como robustas apenas onde esses fatores são considerados por meio de análise ponderada por programa.