Tinejdžer otkrio propust u Microsoftovom servisu Titan, dobio administratorski pristup

Šesnaestogodišnji istraživač Faav otkrio je ranjivost u Microsoftovoj internoj platformi Titan koja mu je omogućila administratorski pristup i izvršavanje SQL upita bez prijave. Mogao je da dosegne baze sa oko 17,3 biliona redova.

Titan inače koriste samo Microsoftovi zaposleni preko veb interfejsa. Faav je uz pomoć alata Antares našao da se API platforme može dohvatiti preko Azure Cloud Services hosta i da Titan ne proverava potpis JSON veb tokena. Posle deset dana grešaka u prijavi, promenio je polje korisnika u nepotpisanom tokenu sa adrese e-pošte na „admin“ i Titan ga je prepoznao kao lokalnog korisnika sa najvišim ovlašćenjima.

Testirao je 56 vrednosti rutiranja, od kojih je 30 još bilo aktivno. One su vodile do 24 konfiguracije i 17 povezanih analitičkih baza sa 9.863 jedinstvene tabele. Ukupan broj redova od 17,3 biliona je procena iz metapodataka i verovatno uključuje istorijske, duplirane i izvedene podatke.

U metapodacima su bili podaci o 24.569 kontrolnih tabli, 425.891 grafikonu i 27.347 definicija skupova podataka. Imenik korisnika otkrivao je nazive radnih mesta, odeljenja i hijerarhiju, što bi moglo da se iskoristi za fišing, ali istraživač to nije testirao. Video je i uzorak Bing analitike sa podacima o pretrazi i lokacijom na nivou države, bez preciznih lokacija.

Microsoft ga je zamolio da prekine testiranje, a zatim zatvorio pristup. Saopštio je da ceni istraživanje i da je servis ojačan, a istraživaču je isplatio nagradu od 5.000 dolara.

Šta uraditi

• Ako razvijate ili testirate aplikacije koje koriste JSON veb tokene, proverite da li se pored sadržaja tokena obavezno proverava i njegov potpis.
• Pregledajte interne API-je koji su dostupni preko javnih cloud hostova i potvrdite da zahtevaju punu proveru identiteta.