3 Tačke
Članak

Tinejdžer hakuje Microsoft bazu sa 17 biliona redova

Tinejdžer poznat kao Faav otkrio je ranjivost u Microsoftovoj analitičkoj platformi Titan, pristupivši bazi sa 17 biliona redova i 25.000 zapisa o zaposlenima, za šta je nagrađen sa 5.000 dolara.

3 Tačke
52 sekunde čitanja

Mladi haker poznat kao Faav otkrio je ranjivost u Microsoftovoj internoj analitičkoj platformi Titan. Koristeći sopstveni AI bot Antares, pronašao je endpoint /v2/Query koji nije zahtevao Azure Active Directory autentifikaciju i prihvatao je sirove SQL upite. Iako je server u početku odbijao upite zbog nedostatka JWT tokena, Faav je shvatio da se digitalni potpis tokena ne proverava, pa je lažno predstavio svoj token kao administratorski i dobio pristup.

Nakon toga, izvršio je komandu SHOW DATABASES i otkrio 25.000 zapisa o zaposlenima, organizacione podatke, dashboarde i grafikone. Daljim istraživanjem došao je do izvora podataka za Bing analitiku, gde je prebrojavanjem redova u tabelama utvrdio da ima pristup ukupno 17 biliona zapisa. Prijavio je problem Microsoftovom bug bounty programu i dobio nagradu od 5.000 dolara. U svom blog postu istakao je da su AI i ljudska intuicija zajedno omogućili ovaj pronalazak.

Povezani članci