باحث عمره 16 عامًا يكتشف ثغرة في Microsoft ويحصل على وصول إداري إلى قواعد بيانات تضم 17.3 تريليون صف

اكتشف باحث أمني يبلغ 16 عامًا، يكتب في مدونة باسم Faav، ثغرة في التفويض داخل خدمة التحليلات الداخلية Titan التابعة لـ Microsoft. حصل على صلاحيات المسؤول، وشغّل استعلامات SQL من دون بيانات صالحة، ووصل إلى قواعد بيانات تحليلية تخزّن نحو 17.3 تريليون صف.

Titan هي منصة داخلية لـ Microsoft، ولا يملك الوصول إليها عبر واجهة الويب إلا الموظفون. ساعده روبوت AI طوره بنفسه يدعى Antares. أدرك أنه سيتمكن من الوصول إلى API الخاص بـ Titan من مضيف Azure Cloud Services، لأن الخدمة لم تكن تتحقق من توقيع رمز الدخول.

كيف حدث الاكتشاف

بدأ البحث في 25 أغسطس، عندما وجد Antares واجهة API العامة الخاصة بـ Titan. وعلى مدى الأيام العشرة التالية، كان الشخص والروبوت يفحصان تفويض JWT الخاص بالخدمة وأسماء المستخدمين بصيغة البريد الإلكتروني (UPN)، وفي النهاية وجدا رمزًا غير موقّع.

في 5 سبتمبر، غيّر Faav قيمة UPN في الرمز من صيغة البريد الإلكتروني إلى admin. تعرّف Titan عليه كمستخدم محلي، وأعاد توجيهه إلى ID 1 الذي يملك دور المسؤول، ومنحه إذن تشغيل SQL. كانت الخدمة تفحص محتوى JWT وليس التوقيع. ووصف الباحث ذلك بأنه يشبه فندقًا كل باب فيه مزوّد بقارئ بطاقات يعمل، لكن أي بطاقة تفتح أي غرفة.

كتب في مدونته: «كانت الساعة الثانية. أردت أن أصرخ، لكن والديّ كانا نائمين. لذلك جلست فقط وحدّقت في الرقم 17 333 335 124 315».

ما البيانات التي حصل على وصول إليها

منحت الثغرة وصولًا إلى قاعدة بيانات البيانات الوصفية لمنصة Titan، حيث كان بإمكانه إرسال طلبات مباشرة إلى جداول التطبيق. تضمنت البيانات الوصفية نحو 25 000 سجل حساب وبريد إلكتروني، و17 990 بريدًا إلكترونيًا لموظفين، و355 إعداد قاعدة بيانات، و20 979 تعريف SQL لمجموعة بيانات افتراضية، و24 569 لوحة، و425 891 مخططًا.

كشف دليل المستخدمين المناصب والأقسام والتسلسل الإداري، وهو ما رأى الباحث أنه قد يكون مفيدًا للهندسة الاجتماعية، لكنه لم يختبر ذلك. كما وجد عيّنة من تحليلات Bing وفحص صفين تضمنا معلومات البحث ومعرّفات وموقعًا على مستوى الدولة أو المنطقة فقط.

من الإعداد المؤرشف، فحص 56 قيمة توجيه، وكان 30 منها لا يزال نشطًا. وتؤدي هذه القيم الثلاثون عبر 24 إعدادًا إلى 17 قاعدة بيانات تحليلية متصلة. ويبلغ الحجم الإجمالي نحو 17.3 تريليون صف؛ ووفقًا لـ Faav، هذا تقدير مستمد من البيانات الوصفية ويشمل أيضًا بيانات تاريخية ومكررة.

رد فعل Microsoft

في 6-8 سبتمبر، طلبت Microsoft من المراهق إيقاف الاختبار وطلبت عنوان IP الخاص به للتأكد من عدم وجود نشاط ضار خارج بحث مكافأة الأخطاء. وفي اليوم التالي أغلقت الشركة نقطة النهاية. وفي 17 سبتمبر، دفعت له Microsoft 5000 دولار.

وقالت الشركة إن الإفصاح المنسّق عن الثغرة ساعد في تقوية الخدمات وحماية المستخدمين. وأشار الباحث نفسه إلى أنه أعاد كتابة نص المدونة بطلب من Microsoft وأعاد صياغة وصف التأثير قبل النشر.