Insecure Direct Object Reference (IDOR)

Las vulnerabilidades de referencia directa a objetos inseguros se pueden explotar cuando las aplicaciones web permiten el acceso directo a objetos en función de la entrada del usuario. Una explotación exitosa podría permitir a los atacantes eludir la autorización y acceder a recursos que deberían estar protegidos por el sistema. Este tipo de vulnerabilidad ocurre cuando una aplicación no desinfecta la entrada del usuario y no realiza las comprobaciones de autorización adecuadas.

Un atacante puede aprovechar las vulnerabilidades de referencias directas a objetos inseguros modificando el valor de un parámetro utilizado para apuntar directamente a un objeto. Para aprovechar este tipo de vulnerabilidad, un atacante necesita mapear todas las ubicaciones en la aplicación donde se utiliza la entrada del usuario para hacer referencia a objetos directamente.

Cómo aprovechar este tipo de vulnerabilidad. El siguiente ejemplo muestra cómo se puede utilizar el valor de un parámetro directamente para recuperar un registro de base de datos:

/buy?customerID=1188

El valor del parámetro customerID se utiliza como índice en una tabla de una base de datos que contiene contactos de clientes. La aplicación toma el valor y consulta la base de datos para obtener el registro de cliente específico. Un atacante puede cambiar el valor 1188 por otro valor y recuperar otro registro de cliente.

En el siguiente ejemplo, el valor de un parámetro se utiliza directamente para ejecutar una operación en el sistema:

/changepassd?user=name

Recursos

Insecure Direct Object Reference Prevention - OWASP Cheat Sheet Series

Insecure direct object references (IDOR) | Web Security AcademyWebSecAcademy