Un hacker de 16 ans accède à 17 billions d'enregistrements Microsoft via une faille de jeton
Un chercheur en sécurité adolescent a obtenu des droits d'administrateur sur le service d'analyse interne de Microsoft grâce à une vulnérabilité de validation de signature, exposant potentiellement des données massives.
Un hacker de 16 ans accède à 17 billions d'enregistrements Microsoft via une faille de jeton
Un pirate informatique âgé de 16 ans a compromis le service d'analyse interne de Microsoft en utilisant un jeton d'autorisation forgé et non signé. Cette vulnérabilité permettait l'exécution de requêtes SQL avec des privilèges administratifs.
L'attaquant a pu accéder à des bases de données contenant plus de 17 billions de lignes, incluant les analyses des requêtes de recherche Bing ainsi que 17 990 enregistrements comportant des adresses e-mail d'employés corporatifs.
Le service, nommé Titan, validait tous les champs du jeton à l'exception de sa signature cryptographique. Selon le chercheur, qui utilise le pseudonyme Faav, il suffisait simplement de se déclarer comme « admin » dans le jeton pour obtenir l'accès.
Le hacker a déclaré qu'il n'a extrait que des métadonnées et deux lignes individuelles de données Bing, n'a pas touché aux données clients et a signalé la vulnérabilité à Microsoft dès le soir même.
Microsoft a fermé le point d'accès vulnérable quatre jours plus tard et a versé une prime de 5 000 $. Cependant, l'entreprise a exercé un contrôle éditorial sur la divulgation : certaines sections, chiffres et descriptions de l'échelle de l'impact ont été caviardés avant la publication du matériel.
Pourquoi c'est important
AnalyseCet incident met en évidence les risques graves liés à une validation inadéquate des jetons dans les systèmes internes et souligne comment des erreurs de configuration peuvent exposer des jeux de données massifs.
Discuter dans la communauté
Partagez vos questions et vos idées avec les développeurs