Как я мог получить доступ к 17 триллионам записей Microsoft
I Could've Accessed 17T Microsoft Records
16-летний исследователь безопасности Faav обнаружил, что внутренний аналитический сервис Microsoft Titan не проверял подпись JWT. Подделав токен с alg: none и upn: admin, он получил права администратора и доступ к SQL-запросам. Через 30 активных маршрутов он вышел на 17 подключённых аналитических баз данных с оценочным объёмом 17,3 трлн строк, включая данные сотрудников и аналитику Bing. Уязвимость была своевременно раскрыта Microsoft.
Titan проверял содержимое JWT (tenant, audience, app ID, user), но никогда не проверял подпись — самую важную часть любой аутентификации.