Un investigador adolescente encontró un fallo de token sin firma en el servicio interno Titan de Microsoft, con 17 billones de filas accesibles.
Faav dice que una comprobación de la firma JWT faltante expuso un entorno analítico estimado en 17.3 billones de filas; Microsoft cerró la API tras su informe del 5 de septiembre.
By Ryan Merket · Published
Primary source: Faav
Por qué importa
Las otras verificaciones de identidad de Titan dependían de declaraciones que podían reescribirse porque el servicio nunca validó la firma del token. El incidente también muestra la división práctica del trabajo en la búsqueda de Faav: Antares automatizó la exploración repetitiva, mientras que su interpretación de un mensaje de error condujo a la identidad de administrador.
Una comprobación de firma ausente permitió a un investigador de seguridad de 16 años hacerse pasar por administrador en el servicio interno de análisis Titan de Microsoft y ejecutar consultas SQL, según una divulgación Faav publicó el 25 de septiembre. Faav estimó que 17 bases de datos analíticas conectadas contenían 17.3 billones de filas accesibles a través del fallo.…
When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.