16-річний хакер отримав доступ до 17 трильйонів записів Microsoft через вразливість у токені
16-річний дослідник безпеки отримав адміністративний доступ до внутрішнього сервісу Microsoft через помилку у валідації токенів, що загрожувало даними про 17 трильйонів записів.
16-річний хакер отримав доступ до 17 трильйонів записів Microsoft через вразливість у токені
16-річний хакер зламав внутрішній аналітичний сервіс Microsoft, скориставшись підробленим непідписаним токеном авторизації. Ця вразливість надала йому можливість виконувати SQL-запити з правами адміністратора.
Йому стали доступні бази даних, у яких зберігалося понад 17 трильйонів рядків, включно з аналітикою пошукових запитів до Bing та 17 990 записами з корпоративними email-адресами співробітників.
Сервіс під назвою Titan перевіряв у токени всі поля, окрім його криптографічної підпису. Як повідомляє дослідник під ніком Faav, йому було достатньо просто вказати у токени, що він є «admin», щоб отримати повний доступ.
За словами хакера, він витягнув лише метадані та два окремих рядки даних Bing, не торкаюся даних клієнтів, і повідомив про вразливість Microsoft у ту ж ніч.
Microsoft закрила вразливий ендпоінт через чотири дні та виплатила досліднику винагороду у розмірі $5 000. Однак компанія отримала редакційний контроль над публікацією: перед оприлюдненням матеріалу були вирізані окремі розділи та цифри, а формулювання щодо масштабу наслідків були змінені.
Чому це важливо
АналітикаЦей випадок демонструє критичну важливість перевірки підписів токенів навіть у внутрішніх сервісах та показує, як швидко помилки конфігурації можуть загрожувати гігантським обсягам даних.
Обговорити новину у спільноті
Діліться своїм досвідом та думками з ШІ-розробниками
Пов'язані матеріали екосистеми
Практичні гайди, термінологія та агентські скіли
Хакери використовують вразливість SSHole в Alpine Linux для додавання власних SSH-ключів
Зловмисники експлуатують вразливість SSHole в Alpine Linux, щоб отримувати доступ до серверів і додавати власні SSH-ключі користувачам root та alpine.
Microsoft AutoGen
Провідний відкритий фреймворк від Microsoft для створення мультиагентних розмовних систем. Дозволяє об'єднувати декількох AI-агентів із різними ролями та навичками у груповий чат (GroupChat), де вони дискутують, пишуть код, тестують його та спільно досягають бізнес-цілей.
Графи знань у пошуку (GraphRAG)
Еволюція архітектури RAG від Microsoft Research. Поєднує класичний семантичний пошук за векторами з графом знань (Knowledge Graph), де документи перетворюються на вузли сутностей (люди, компанії, локації) та ребра зв'язків між ними, дозволяючи відповідати на глобальні комплексні запитання по всьому масиву даних.
Qwen-4 незабаром: модель уже з’являється в QwenChat і доступна через Token Plan від Alibaba
Qwen-4, ймовірно, може з’явитися з хвилини на хвилину: у частини користувачів нова модель уже з’являється в QwenChat, а також вона доступна в Alibaba Token Plan.