FC ConcursosFC Concursos

Questão FC890724

Uma aplicação em produção foi comprometida por meio da exploração de uma biblioteca com CVE conhecido, que permite execução remota de código. O pipeline da aplicação possui SAST du

Segurança em Aplicações (Programação Segura)

FGV · 2026

Uma aplicação em produção foi comprometida por meio da exploração de uma biblioteca com CVE conhecido, que permite execução remota de código.

 

O pipeline da aplicação possui SAST durante a fase de desenvolvimento, DAST em ambiente de homologação e, ainda, possui monitoramento em produção. Após investigação, verificou-se que a vulnerabilidade estava em uma dependência indireta, não houve alerta durante o pipeline e a exploração ocorreu imediatamente após o deploy.

 

Com base nesse contexto, assinale a afirmativa que explica corretamente a falha de detecção.

  1. Ausência de análise de composição de software (SCA) no pipeline para identificação de vulnerabilidades em dependências transitivas.
  2. Limitação do SAST na análise de fluxos dinâmicos de execução da aplicação.
  3. Dependência do DAST de cobertura de testes para identificação de vulnerabilidades exploráveis.
  4. Natureza reativa do monitoramento em produção, voltada à detecção pós-exploração.
  5. Ausência de testes funcionais capazes de exercitar cenários de falha na aplicação.
Mostrar resposta e comentário

Gabarito

A

Comentário do professor

A explicação correta é a ausência de SCA (Software Composition Analysis) no pipeline, o que permite que vulnerabilidades em dependências transitivas passem despercebidas.

O SCA cria a SBOM do projeto, identifica todas as bibliotecas usadas (diretas e indiretas) e cruza essas entradas com bancos de dados de CVE, gerando alertas ou bloqueando o fluxo quando há pacotes vulneráveis.

SAST e DAST examinam código-fonte e comportamento em execução, respectivamente, mas não mapeiam automaticamente a árvore de dependências; o monitoramento aponta exploração já em produção. Sem SCA a dependência vulnerável foi implantada e explorada imediatamente após o deploy.

Conteúdo do catálogo FC Concursos · Atualizado em

Continue aprendendo