Questão 26 · Informática: Segurança da informação
Uma aplicação web pode ser atacada por meio da exploração de vulnerabilidades, como, por exemplo, quando os dados fornecidos pelos usuários não são validados, filtrados ou mesmo limpos pela aplicação; pela não renovação dos identificadores de sessão após o processo de autenticação ter sido bem-sucedido; pela elevação de privilégios, atuando como usuário sem autenticação, ou como administrador, mas tendo perfil de usuário regular. Aplicações com essas características são vulneráveis à falha de I injeção;
II quebra de autenticação;
III quebra de controle de acesso.
Assinale a opção correta.
- A) Apenas o item I está certo.
- B) Apenas o item III está certo.
- C) Apenas os itens I e II estão certos.
- D) Apenas os itens II e III estão certos.
- E) Todos os itens estão certos.
Marque a alternativa correta:
Gabarito: E
Gabarito definitivo divulgado pela banca Cebraspe (TJ/RJ 2021).
Comentário
Gabarito: E.
Os três itens descrevem categorias do OWASP Top 10, que lista os riscos mais críticos em aplicações web:
- I: injeção, porque dados do usuário não são validados, filtrados nem higienizados e podem ser interpretados como comandos (SQL, OS, LDAP etc.).
- II: quebra de autenticação, porque a aplicação não renova o identificador de sessão após o login, o que permite fixação de sessão (session fixation).
- III: quebra de controle de acesso (ou controle de acesso quebrado), porque há elevação de privilégios, seja de visitante para usuário autenticado, seja de usuário comum para administrador.
Como os três itens estão corretos, a alternativa correta é a E.
Por que as demais estão erradas: as alternativas A, B, C e D omitem pelo menos um dos itens corretos, o que as torna incompatíveis com o gabarito.
Dica: associe cada vulnerabilidade à sua característica: entrada não validada indica injeção; sessão não renovada indica quebra de autenticação; privilégio indevido indica quebra de controle de acesso.
Fundamentos: OWASP Top 10 (categorias de injeção, quebra de autenticação e quebra de controle de acesso)
Comentário gerado pela Cravei IA a partir do enunciado e do gabarito definitivo divulgado pela banca, e conferido por uma verificação automática. A IA pode errar: o gabarito oficial sempre prevalece.
Fonte: prova Cebraspe TJ/RJ 2021 (Analista Judiciário – Grupo: Tecnologia da Informação – Especialidade: Analista de Segurança da Informação), questão 26, com o gabarito definitivo da banca. Comentário: Equipe Cravei · como fazemos e revisamos.