Unsichere direkte Objektreferenzen (IDOR) sind eine Klasse von Zugriffskontrollschwachstellen, bei denen eine Anwendung eine direkte Referenz auf ein internes Implementierungsobjekt, wie einen Datenbankschlüssel oder Dateinamen, ohne ordnungsgemäße Autorisierungsprüfungen offenlegt. Angreifer können dies ausnutzen, indem sie einfach die Kennung in einer Anfrage ändern, um auf Ressourcen zuzugreifen oder diese zu modifizieren, die anderen Benutzern gehören. Dieses Problem tritt besonders häufig in RESTful-APIs auf, in denen Ressourcen-IDs oft sequenziell und vorhersehbar sind.
Die Erkennung umfasst typischerweise manuelle Tests mit mehreren Benutzerkonten, automatisierte Scan-Tools, die Objekt-IDs fuzzen, und gründliche Code-Reviews der Autorisierungslogik. Zu den gängigen Tools gehören Burp Suite, OWASP ZAP und benutzerdefinierte Skripte, die Antworten über verschiedene Benutzerkontexte hinweg vergleichen. Die Auswirkungen von IDOR können von Datenlecks bis zur vollständigen Kontenübernahme reichen, was es zu einem Ergebnis mit hoher Priorität in Sicherheitsbewertungen macht.
Zu den Minderungsstrategien gehören die Implementierung robuster Objektebene-Autorisierungsprüfungen, die Verwendung unvorhersehbarer Kennungen (z. B. UUIDs) und die Durchsetzung serverseitiger Validierung von Benutzerberechtigungen für jeden Ressourcenzugriff. Regelmäßige Sicherheitstests und die Einführung eines Zero-Trust-Modells für das API-Design sind entscheidend, um diese Fehler zu verhindern. Da APIs weiterhin zunehmen, bleibt IDOR ein Hauptanliegen für Sicherheitsteams weltweit.