No que se refere a OWASP Top 10, julgue o item a seguir.
Security misconfiguration indica que a aplicação pode estar vulnerável devido à utilização de contas e senhas default que estão habilitadas e ainda não foram alteradas.
GabaritoC — Certo
✅ CERTO. A afirmação está correta: a categoria Security Misconfiguration (Configuração Incorreta de Segurança) do OWASP Top 10 abrange exatamente o cenário descrito — aplicações vulneráveis por utilizarem contas e senhas padrão (default) que permanecem habilitadas e não foram alteradas. Essa é uma das causas clássicas dessa categoria de risco, conforme a documentação do OWASP.
O OWASP (Open Worldwide Application Security Project) é uma fundação sem fins lucrativos que atua para melhorar a segurança de softwares, e o OWASP Top 10 é uma de suas publicações mais conhecidas: uma listagem atualizada periodicamente que reúne as vulnerabilidades mais críticas, comuns e perigosas em aplicações web. É um documento de conscientização (awareness), não uma norma ou certificação, mas serve como referência mundial e ponto de partida para programas de segurança de aplicações.
A categoria A05:2021 — Security Misconfiguration (Configuração Incorreta de Segurança) trata de falhas decorrentes de uma configuração inadequada do ambiente ou da aplicação. Entre os exemplos típicos citados pela própria OWASP estão: falta de configuração correta de segurança, ativação de recursos desnecessários, uso de contas padrão (as famosas contas default), desabilitação de recursos de segurança, diretivas de segurança não configuradas e software desatualizado. O item da questão descreve precisamente um desses cenários: contas e senhas default habilitadas e não alteradas.
É importante não confundir essa categoria com outras do Top 10. A Security Misconfiguration é uma falha de configuração do ambiente/aplicação. Já a categoria A07:2021 — Identification and Authentication Failures (Falhas de Identificação e Autenticação) trata de problemas no processo de confirmação de identidade, autenticação e gerenciamento de sessão, que podem facilitar ataques automatizados, de força bruta e o uso de senhas padrão. A distinção é sutil, mas relevante: enquanto a configuração incorreta é sobre o ambiente estar mal configurado (incluindo deixar contas padrão ativas), as falhas de autenticação são sobre o mecanismo de autenticação em si ser fraco ou mal implementado.
A pegadinha que a banca explora aqui é justamente essa fronteira: o candidato pode ser tentado a associar "contas e senhas default" à categoria de falhas de autenticação (A07), mas o enunciado fala em "utilização de contas e senhas default que estão habilitadas e ainda não foram alteradas" — isso é um problema de configuração do sistema, não do mecanismo de autenticação. A OWASP lista explicitamente o "uso de contas padrão" como um dos fatores da Security Misconfiguration.
Guarde essa distinção: é exatamente nela que a questão se decide. Se o problema é a configuração do ambiente (contas padrão ativas, recursos desnecessários habilitados, diretivas de segurança ausentes), estamos em Security Misconfiguration. Se o problema é o processo de autenticação em si (senhas fracas, falta de MFA, gerenciamento de sessão deficiente), estamos em Identification and Authentication Failures.
A afirmação está correta. A categoria Security Misconfiguration (A05:2021) do OWASP Top 10 inclui explicitamente o cenário de aplicações vulneráveis devido ao uso de contas e senhas padrão (default) que permanecem habilitadas e não foram alteradas. A OWASP descreve essa categoria como abrangendo a falta de configuração correta de segurança, a ativação de recursos desnecessários e o uso de contas padrão — exatamente o que o item descreve.
OWASP Top 10 (2021):
A05:2021 – Configuração Incorreta de Segurança (Security Misconfiguration): a aplicação é vulnerável pois falta configuração correta, há ativação de recursos desnecessários, uso de contas padrão, desabilitação de recursos de segurança, diretivas de segurança não configuradas ou mesmo pelo software não está atualizado.
O item não menciona falhas no mecanismo de autenticação (o que seria a categoria A07), mas sim um problema de configuração do ambiente — contas padrão que deveriam ter sido desabilitadas ou ter suas senhas alteradas. Isso se enquadra perfeitamente na definição de Security Misconfiguration.
Gabarito: ✅ CERTO
Link permanente: /questoes/ce397917