16-летний хакер получил доступ к 17 триллионам записей Microsoft из-за уязвимости токена
Подросток взломал внутренний сервис Microsoft, используя поддельный токен без подписи, что дало ему права администратора и доступ к гигантским массивам данных.
16-летний хакер получил доступ к 17 триллионам записей Microsoft из-за уязвимости токена
16-летний хакер взломал внутренний аналитический сервис Microsoft с помощью поддельного неподписанного токена авторизации и получил возможность выполнять SQL-запросы с правами администратора.
Ему стали доступны базы данных, в которых хранилось более 17 триллионов строк, включая аналитику поисковых запросов Bing и 17 990 записей с корпоративными email сотрудников.
Сервис под названием Titan проверял в токене все поля, кроме его подписи. Поэтому, как пишет исследователь под ником Faav, ему было достаточно просто указать, что он «admin», чтобы получить доступ.
По его словам, он извлёк только метаданные и две отдельные строки данных Bing, не трогал данные клиентов и сообщил об уязвимости Microsoft в ту же ночь.
Microsoft закрыла уязвимый эндпоинт через четыре дня, выплатила ему $5 000 и получила редакционный контроль над его публикацией: компания вырезала отдельные разделы и цифры и изменила формулировки о масштабе последствий до того, как материал был опубликован.
Почему это важно
АналитикаИнцидент показывает критическую важность валидации подписей токенов даже во внутренних корпоративных системах.
Обсудить в сообществе
Делитесь опытом и мыслями с ИИ-разработчиками
Связанные материалы экосистемы
Практические гайды, терминология и агентские скиллы
Microsoft AutoGen
Ведущий открытый фреймворк от Microsoft для создания мультиагентных разговорных систем. Позволяет объединять нескольких AI-агентов с различными ролями и навыками в групповой чат (GroupChat), где они обсуждают, пишут код, тестируют его и совместно достигают бизнес-целей.
Хакеры используют уязвимость SSHole в Alpine Linux для добавления SSH-ключей
Злоумышленники эксплуатируют уязвимость SSHole в Alpine Linux, чтобы получать доступ к серверам и добавлять свои SSH-ключи пользователям root и alpine.
Графы знаний в поиске (GraphRAG)
Эволюция архитектуры RAG от Microsoft Research. Объединяет классический семантический поиск по векторным данным с графом знаний (Knowledge Graph), где документы преобразуются в узлы сущностей (люди, компании, локации) и ребра связей между ними, позволяя отвечать на глобальные комплексные вопросы по всему массиву данных.
7 лучших и доступных альтернатив Claude Code: выбирайте под задачу
Claude Code стал одним из самых узнаваемых имён в агентном программировании. Разбираем 7 лучших альтернатив для терминала: OpenCode, Pi, Factory Droid, Codex CLI, Antigravity CLI, Cline и Goose.