Questão FC483936
A partir dos conceitos relacionados a OWASP TOP 10, julgue o item a seguir. O SSRF (server-side request forgery) só pode ser explorado se o atacante tiver credenciais administrativ
Frameworks de Segurança da Informação e Segurança Cibernética
CEBRASPE (CESPE) · 2025
A partir dos conceitos relacionados a OWASP TOP 10, julgue o item a seguir.
O SSRF (server-side request forgery) só pode ser explorado se o atacante tiver credenciais administrativas no servidor de destino, pois ele depende de permissões elevadas para realizar requisições internas e externas.
Mostrar resposta e comentário
Gabarito
Errado
Comentário do professor
A afirmação está errada porque o SSRF explora a capacidade do servidor vulnerável de fazer requisições a endereços controlados pelo atacante, sem que este precise de credenciais administrativas no servidor alvo.
O invasor injeta ou manipula uma URL/endpoint que o aplicativo servidor consulta, levando-o a acessar serviços internos (por exemplo interfaces administrativas, APIs internas, ou endpoints de metadados como 169.254.169.254 em nuvem) ou sistemas externos arbitrários.
Isso permite vazamento de dados, obtenção de tokens, varredura de rede interna ou execução de ações com privilégios do servidor, mesmo quando o atacante não tem acesso direto ou contas administrativas no destino.
Mitigações eficientes incluem validação e normalização de URLs, uso de allowlist, bloqueio de endereços internos e filtro de saída no ambiente.
Conteúdo do catálogo FC Concursos · Atualizado em