青少年研究员发现 Microsoft 内部 Titan 服务的未签名令牌漏洞，可访问 17 万亿行数据
Faav 表示，缺少 JWT 签名校验导致一个估计包含 17.3 万亿 行的数据分析环境被暴露；在他 9 月 5 日的报告之后，Microsoft 关闭了该 API。
By Ryan Merket · Published
Primary source: Faav
为何重要
Titan 的其他身份检查依赖于可以被重写的声明，因为该服务从未验证令牌签名。该事件也展示了 Faav 搜索行动中切实的分工：Antares 自动化了重复性的探测，而他对错误消息的解读则导致发现了管理员身份。
一个缺失的签名检查使一名16岁的安全研究员能够在 Microsoft 的内部 Titan 分析服务上冒充管理员并运行 SQL 查询，来自 Faav 于9月25日发布 的披露称。Faav 估计通过该漏洞可访问的 17 个连接的分析数据库中包含 17.3 万亿 行。这是基于元数据的存储行数估算，而不是唯一人员数量或已确认被窃取的客户记录数。
Microsoft 在 9 月 9 日关闭了受影响的 API，这比 Faav 所称他向 Microsoft Security Response Center 报告该漏洞晚了四天。根据他的说法，该公司在 9 月 17 日向他支付了 5,000 美元的漏洞赏金。Faav 表示，他使用表描述、元数据和有限样本来评估暴露情况，未批量下载客户数据，也未访问可识别个人身份的客户信息。…
When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.