Access Control: Authorization Bypass

A los métodos que omiten las comprobaciones de autorización basados en un indicador, que se transfiere como un parámetro, no se les debe llamar con un indicador controlado por el usuario.

Control de acceso: los problemas por eludir la autorización se producen cuando:

1. Los datos entran en un programa a través de un origen que no es de confianza.

2. Los datos controlados por el usuario se transfieren como un parámetro a un método que causa que el método omita sus comprobaciones de autorización.
Ejemplo 1: el siguiente código proporciona un indicador controlado por el usuario a un método que obtiene datos de los empleados:

    ...
	PARAMETERS: p_xfeld TYPE xfeld.
    ...
CALL FUNCTION 'BAPI_EMPLOYEE_GETDATA'
  EXPORTING
    employee_id      = emp_id
    authority_check  = p_xfeld
  IMPORTING
    return           = ret
  TABLES
    org_assignment   = org_data
    personal_data    = pers_data
    internal_control = con_data
    communication    = comm_data
    archivelink      = arlink. 
    ...

Si un usuario malintencionado proporciona espacios en blanco para el parámetro p_xfeld, no se llevan a cabo las comprobaciones de autorización antes de devolver la información personal y de contacto de un empleado.