Юний хакер зміг отримати доступ до внутрішньої аналітичної платформи Titan від Microsoft. У результаті він виявив витік даних, що охоплював 25 000 записів співробітників компанії, а також аналітичну базу Bing на 17 трлн рядків.
Юний хакер зміг отримати доступ до внутрішньої аналітичної платформи Titan від Microsoft. У результаті він виявив витік даних, що охоплював 25 000 записів співробітників компанії, а також аналітичну базу Bing на 17 трлн рядків.
За словами юного дослідник під ніком Faav, він регулярно шукає вразливості в продуктах Microsoft, Amazon, Google та Adobe у вільний від навчання час. Для автоматизації рутинної роботи хлопець створив власного ШІ-бота-оркестратора під назвою Antares, повідомляє Tom’s Hardware.
Процес виявлення вразливості розпочався з того, що ШІ-бот Antares знайшов у платформі Titan кінцеву URL-адресу, яка видавала помилку про необхідність VPN-підключення. Спрямувавши бота на сканування пов’язаних субдоменів, дослідник виявив хост в Azure Cloud та специфікацію OpenAPI/Swagger із чотирма маршрутами. З’ясувалося, що три з них вимагали авторизації через Azure Active Directory, тоді як четвертий — /v2/Query — виявився повністю відкритим і приймав чисті SQL-запити.
Для проведення повноцінних запитів хакеру необхідно було зрозуміти структуру самої системи. За допомогою сервісу Wayback Machine він знайшов архівну версію сторінки входу за 2023 рік, у якій зберігся конфігураційний файл Apache Superset. Цей документ містив детальний опис схеми бази даних із 56 таблицями, що й дало змогу сформувати точні SQL-запити для подальшого проникнення.
Сервер відхиляв запити через відсутність JWT-токена (JSON Web Token). Після 10 днів безуспішних спроб автоматичного підбору Antares, Faav здогадався, що сервер взагалі не перевіряє цифровий підпис токена.
Він вручну згенерував токен, підставивши права адміністратора — і система одразу надала повний доступ. Перший же запит SHOW DATABASES відкрив персональні дані 25 000 співробітників, а також корпоративну аналітику, дашборди та графіки.
Досліджуючи далі, Faav вийшов на масив аналітики Bing. Підрахувавши кількість рядків у таблицях, він зрозумів, що отримав доступ до 17 трлн записів.
«Тут спрацював синергетичний ефект ШІ та людської інтуїції. Antares виконав десятиденну рутинну роботу, яку мені не довелося робити вручну. Його наполегливість у поєднанні з моєю здогадкою — це те, що зробило цей витік можливим», — підсумував Faav.
Після надсилання детального звіту в межах програми Microsoft Bug Bounty, компанія усунула вразливість та виплатила досліднику винагороду в розмірі $5 000.
