17 lines
3.7 KiB
Markdown
17 lines
3.7 KiB
Markdown
# Casos adicionais da frente técnica
|
|
|
|
São ocorrências ligadas a AUD-OPS-01 na matriz existente. Os recibos iniciais continuam privados e preservados; as provas publicáveis omitem credenciais, cookies, cabeçalhos CSRF e códigos MFA.
|
|
|
|
|Caso|Reprodução em QA equivalente|Esperado|Observado e causa|Correção/prova|
|
|
|---|---|---|---|---|
|
|
|C110|Abrir o instalador no hostname HTTP não seguro; nos consumidores, retirar `Crypto.prototype.randomUUID` mantendo `getRandomValues` e executar as ações listadas|Preparar a operação com chave válida, conservada no erro/repetição|Chamada direta a método indisponível; no 040000 cada tentativa gerava chave diferente|COUNTRY usa chave do servidor; 25 chamadas usam utilitário CSPRNG comum; erro/repetição/recuperação demonstrados por consumidor|
|
|
|C111|Navegar no perfil privado com histórico cifrado num hostname HTTP não seguro|Dados privados protegidos, navegação utilizável|WebCrypto `subtle` indisponível; erro ao cifrar o histórico|HTTPS Apache real, confiança normal, cifragem mantida; Back/Forward/nova sessão demonstrados|
|
|
|C112|Autenticar, abrir país mestre, fazer logout e usar Back|API recusada, dados privados não reaparecem|Sessão invalidada, mas chave de histórico Inertia sobrevivia no cliente|Resposta Fortify limpa histórico após invalidação; API401, Back com login sem master, nova sessão/MFA recupera dados autorizados|
|
|
|C113|Arrancar a cópia QA do Apache/PHP do destino e consultar runtime HTTP|Extensão cURL carregada|DLL nghttp2 1.47 do diretório Apache não exporta `nghttp2_option_set_no_rfc9113_leading_and_trailing_ws_validation`, exigido pelo cURL do PHP atual|DLL 1.70 da própria instalação PHP, somente na cópia QA; mod_php mostra cURL 8.22.0 e restantes extensões|
|
|
|C114|Arrancar o segundo Apache Windows com OPcache usando a configuração partilhada|QA arranca sem interferir com Apache ativo|Conflito de identidade/mapeamento dos opcode handlers na memória partilhada|Identidade própria e fallback gravável na QA; OPcache continua habilitado e ativo permanece intacto|
|
|
|C115|No importador autenticado, escolher níveis territoriais 2 e 3, mantendo `memory_limit=128M` e timeout do destino|Prévia apresentada, correspondências e originais conservados|Decodificação da coleção inteira excedia memória; primeira abordagem por byte excedia tempo|Parser por feature e varrimento de blocos: 581 features idênticas, pico 38 MiB, três estruturas inválidas dão 422; prévias HTTP dos três níveis funcionam|
|
|
|C116|Preparar dois titulares e aprovador sintéticos usando habilitação/confirmação MFA normal Fortify, instalar 040000 e inicializar o par|MFA válido aceite; titulares e histórico preservados|422 «Configuração MFA inválida»: serviço tratava envelope serializado como segredo cru|Leitura estrita compatível com os envelopes existentes, sem recifrar; instalação/replay e bootstrap únicos, recuperação noutra sessão; MAC inválido continua controlado|
|
|
|C117|Na sala privada, enviar mensagem e escrever a segunda antes de a resposta anterior concluir|Ambos os textos persistem e reaparecem após F5|Resposta anterior limpava o formulário e a segunda seguia com corpo vazio|Campo bloqueado durante envio; duas mensagens consecutivas com corpos distintos/exatos persistem e são recuperadas. Proteção comum aplicada também ao Balcão|
|
|
|
|
Falsas falhas de instrumentação foram distinguidas: reutilização do mesmo TOTP na janela em que Fortify impede replay, ausência de consentimento/documento obrigatório, combobox tratado como select nativo e ordenação de auditorias por UUID. Não motivaram alterações em políticas, MFA ou critérios de aceitação. A auditoria cifrada é conferida por data/versão, não por ordenação lexicográfica de IDs aleatórios.
|