Fallos del tipo CWE-556

1 resultado

Configuração Incorreta do ASP.NET: Uso de Representação de Identidade

Ocorre quando uma aplicação ASP.NET usa a diretiva de representação de identidade (impersonation) sem controles adequados, permitindo que o código execute com privilégios de outro usuário (geralmente conta de serviço ou administrador). Isso expõe a aplicação a acesso não autorizado e execução de ações maliciosas sob identidades privilegiadas.

Ejemplo

Uma página ASP.NET com <identity impersonate="true" /> no web.config executa todo o código sob a identidade do usuário autenticado ou conta padrão, sem validar escopo de privilégios. Um atacante autenticado pode manipular requisições para executar operações administrativas que a identidade representada permite.

Cómo mitigar

Desabilite a representação de identidade se não for absolutamente necessária. Se precisar usar, implemente validação explícita de permissões no código, restrinja a representação apenas para blocos específicos e críticos, e nunca use contas administrativas como identidade padrão.