Muhammad FaqihKeamanan aplikasi · Pengujian penetrasi
Skenario 14 / 19PASS

Broken Object Level Authorization - Vehicle - Location Tracking (Unauthenticated)

Lingkungan lab — bukan sistem produksi

Tangkapan layar dan trafik mentah tidak diterjemahkan; teks di dalamnya mungkin menggunakan bahasa lain.

crAPI/Evidence/[PASS] Broken Object Level Authorization - Vehicle - Location Tracking (Unauthenticated)

01 — Catatan

Catatan pengujian

Kerentanan

[PASS] Broken Object Level Authorization - Vehicle - Location Tracking (Unauthenticated)

Deskripsi

Diuji akses endpoint lokasi kendaraan tanpa autentikasi apa pun.

Dampak

Tidak ada dampak: server mewajibkan autentikasi dan menolak (401).

CWE

CWE-306: Missing Authentication for Critical Function (diuji, tidak rentan pada jalur ini)

OWASP

API1:2023 - Broken Object Level Authorization (diuji negatif - jalur unauth)

Skenario

Normal: akses lokasi sendiri dengan token -> 200. Eksploitasi: hapus token -> 401. PASS (kontrol autentikasi berjalan).

Endpoint

GET http://127.0.0.1:8888/identity/api/v2/vehicle/{vehicleId}/location

Fitur terdampak

Pelacakan Lokasi Kendaraan (crapi-identity)

Rekomendasi perbaikan

Pertahankan wajib-autentikasi; tambahkan pula verifikasi kepemilikan objek (lihat temuan [FAIL] terkait).

Bukti konsep

1) (Screenshot 1) NORMAL: GET /identity/api/v2/vehicle/9b3ce26b-d797-404b-a961-09d7e45e0d1b/location kendaraan sendiri dengan token -> 200. 2) (Screenshot 2) EKSPLOITASI: kirim ulang TANPA header Authorization -> 401 (kontrol autentikasi berjalan).
Lihat catatan sumber (bahasa Indonesia)
Vulnerability: [PASS] Broken Object Level Authorization - Vehicle - Location Tracking (Unauthenticated)

Description:
Diuji akses endpoint lokasi kendaraan tanpa autentikasi apa pun.

Impact:
Tidak ada dampak: server mewajibkan autentikasi dan menolak (401).

CWE:
CWE-306: Missing Authentication for Critical Function (diuji, tidak rentan pada jalur ini)

OWASP:
API1:2023 - Broken Object Level Authorization (diuji negatif - jalur unauth)

Scenario:
Normal: akses lokasi sendiri dengan token -> 200. Eksploitasi: hapus token -> 401. PASS (kontrol autentikasi berjalan).

Endpoint:
GET http://127.0.0.1:8888/identity/api/v2/vehicle/{vehicleId}/location

Affected Feature:
Pelacakan Lokasi Kendaraan (crapi-identity)

Remediation:
Pertahankan wajib-autentikasi; tambahkan pula verifikasi kepemilikan objek (lihat temuan [FAIL] terkait).

POC:
1) (Screenshot 1) NORMAL: GET /identity/api/v2/vehicle/9b3ce26b-d797-404b-a961-09d7e45e0d1b/location kendaraan sendiri dengan token -> 200.
2) (Screenshot 2) EKSPLOITASI: kirim ulang TANPA header Authorization -> 401 (kontrol autentikasi berjalan).

02 — Tangkapan layar

Tangkapan layar (2)

01 / Normal: lokasi kendaraan sendiri (terautentikasi)

Alur normal: mengakses lokasi kendaraan sendiri dengan token valid mendapat respons 200.

02 / Hasil: akses tanpa token ditolak (PASS)

Hasil (PASS): akses tanpa token mendapat response 401. Autentikasi berjalan pada pengujian ini, tetapi BOLA tetap terjadi dengan token pengguna lain; lihat [FAIL].

03 — Request dan response

Rekaman HTTP

Sebagian nilai kredensial disamarkan pada tampilan HTML publik ini. Penyamaran ini tidak menjamin bahwa seluruh data sensitif atau berkas tertaut sudah disamarkan.

REKAMAN 01 / 1Normal: lokasi kendaraan sendiri (terautentikasi)
HTTP request
GET /identity/api/v2/vehicle/9b3ce26b-d797-404b-a961-09d7e45e0d1b/location HTTP/1.1
Host: 127.0.0.1:8888
Authorization: Bearer [REDACTED-LAB-TOKEN]
HTTP response
HTTP/1.1 200
Server: openresty/1.27.1.2
Content-Type: application/json
Content-Length: 177

{
  "carId": "9b3ce26b-d797-404b-a961-09d7e45e0d1b",
  "vehicleLocation": {
    "id": 4,
    "latitude": "38.206348",
    "longitude": "-84.270172"
  },
  "fullName": "Muhammad Faqih",
  "email": "[REDACTED-EMAIL]"
}

Alur normal: mengakses lokasi kendaraan sendiri dengan token valid mendapat respons 200.

REKAMAN 02 / 2Hasil: akses tanpa token ditolak (PASS)
HTTP request
GET /identity/api/v2/vehicle/9b3ce26b-d797-404b-a961-09d7e45e0d1b/location HTTP/1.1
Host: 127.0.0.1:8888
Accept: application/json

# HEADER Authorization SENGAJA DIHAPUS
HTTP response
HTTP/1.1 401
Server: openresty/1.27.1.2
Content-Type: application/json;charset=ISO-8859-1
Content-Length: 49

CRAPIResponse(message=Invalid Token, status=401)

Hasil (PASS): akses tanpa token mendapat response 401. Autentikasi berjalan pada pengujian ini, tetapi BOLA tetap terjadi dengan token pengguna lain; lihat [FAIL].