Questão 100 · Informática: Segurança da informação
A respeito de gestão de segurança da informação, protocolos de autenticação, ameaças e vulnerabilidades em aplicações e segurança de aplicativos web, julgue os itens a seguir, considerando, no que couber, as disposições das normas técnicas NBR ISO/IEC 27001:2022 e NBR ISO/IEC 27002:2022.
Um ataque LDAP injection bem-sucedido pode resultar na execução de comandos arbitrários, como a concessão de permissões para consultas não autorizadas e a modificação de conteúdo dentro da árvore LDAP.
Julgue o item:
Gabarito: CERTO
Gabarito definitivo divulgado pela banca Cebraspe (TRF6 2025).
Comentário
Gabarito: CERTO.
Um ataque de LDAP injection ocorre quando um invasor insere caracteres especiais em campos de entrada de dados de uma aplicação web, manipulando as consultas LDAP (Lightweight Directory Access Protocol) que a aplicação envia a um servidor de diretório. Se a aplicação não filtrar ou sanitizar adequadamente essas entradas, o invasor pode modificar a lógica da consulta LDAP original.
As consequências de um LDAP injection bem-sucedido são graves e incluem a capacidade de realizar consultas não autorizadas, o que pode levar à obtenção de informações confidenciais armazenadas no diretório LDAP (como nomes de usuário, senhas, e-mails, etc.). Além disso, dependendo da configuração do servidor LDAP e das permissões do usuário que a aplicação utiliza para se conectar ao diretório, o invasor pode conseguir modificar ou até mesmo excluir entradas na árvore LDAP, concedendo a si mesmo ou a outros usuários permissões elevadas ou alterando dados críticos. A execução de comandos arbitrários, embora não seja uma característica direta do LDAP injection em si (que manipula consultas), pode ser uma consequência indireta se a manipulação das consultas levar à execução de scripts ou funções privilegiadas no servidor LDAP ou na aplicação que o utiliza.
Fundamentos: OWASP Top 10 - Injection (A03:2021) · Conceitos de segurança de aplicações web
Comentário gerado pela Cravei IA a partir do enunciado e do gabarito definitivo divulgado pela banca, e conferido por uma verificação automática. A IA pode errar: o gabarito oficial sempre prevalece.
Fonte: prova Cebraspe TRF6 2025 (Técnico Judiciário – Área: Apoio Especializado – Especialidade: Desenvolvimento de Sistemas de Informação), questão 100, com o gabarito definitivo da banca. Comentário: Equipe Cravei · como fazemos e revisamos.