Mitigación de IDOR: guía de remediación

Ficha de la remediación

Descripción del fallo

Una vulnerabilidad IDOR (Insecure Direct Object Reference) ocurre cuando una aplicación utiliza una entrada provista por el usuario para acceder directamente a un objeto o recurso en la base de datos (por ejemplo, /api/invoice?id=1024 o /user/profile/55) sin validar si el usuario autenticado tiene permisos legítimos para acceder a dicho recurso.

Un atacante puede simplemente modificar el parámetro numérico o el identificador en la petición para leer, editar o eliminar registros pertenecientes a otros usuarios del sistema.

Alcance y prerrequisitos

Impacto técnico y de negocio

Cómo implementar la mitigación de IDOR

La solución requiere implementar controles de acceso basados en el contexto de la sesión activa y no confiar únicamente en los parámetros enviados por el cliente. opcionalmente, se pueden utilizar identificadores no predecibles (UUIDs).

// Consulta directa usando el ID enviado por el usuario sin verificar propiedad
$invoice_id = $_GET['id'];
$stmt = $pdo->prepare("SELECT * FROM invoices WHERE id = :id");
$stmt->execute(['id' => $invoice_id]);
$invoice = $stmt->fetch(); // Retorna la factura de CUALQUIER usuario

// Validar que el objeto pertenezca al usuario autenticado en la sesión
$user_id = $_SESSION['user_id'];
$invoice_id = $_GET['id'];

$stmt = $pdo->prepare("SELECT * FROM invoices WHERE id = :invoice_id AND user_id = :user_id");
$stmt->execute(['invoice_id' => $invoice_id, 'user_id' => $user_id]);
$invoice = $stmt->fetch();

if (!$invoice) {
    http_response_code(403);
    echo json_encode(["error" => "Acceso denegado o recurso no encontrado"]);
    exit();
}

app.get('/api/orders/:orderId', async (req, res) => {
 const { orderId } = req.params;
 const currentUserId = req.user.id; // Obtenido del JWT/Sesión validada

 const order = await Order.findOne({ _id: orderId });

 // Verificación de autorización explícita
 if (!order || order.userId !== currentUserId) {
   return res.status(403).json({ error: 'No tiene permisos para ver esta orden' });
 }

  res.json(order);
});

Verificación posterior a la remediación

Riesgos residuales y limitaciones

Recomendaciones complementarias

La mitigación de IDOR debe aplicarse en cada operación sobre objetos —consulta, creación, actualización, descarga y eliminación— y no solo en las rutas usadas como ejemplo.

¿Cómo puede apoyar Password?

Password Consulting Services puede acompañar la identificación y validación de fallas IDOR mediante Pentesting Avanzado y pruebas de código SAST/DAST. El objetivo es evaluar la autorización a nivel de objeto, verificar la eficacia de los controles implementados y fortalecer el ciclo de desarrollo seguro. También puede consultar otras guías de remediación relacionadas con el control de acceso.

Preguntas frecuentes