☝🏻16-летний школьник получил админ-доступ к 17 трлн строк данных Microsoft

16-летний исследователь под ником Faav рассказал, как получил права администратора во внутреннем аналитическом сервисе Microsoft Titan, доступном только сотрудникам.

Ошибка оказалась детской: API проверял содержимое JWT-токена, но никогда не проверял его подпись.🤷🏼‍♀️

☝🏻Достаточно было собрать неподписанный токен и вписать в поле пользователя вместо почты просто «admin».
Система приняла его за локальную учётку с ID 1 — то есть за администратора.

Что открывалось за этим:
🔻 около 25 тыс. учётных записей и 17 990 email сотрудников
🔻 почти 25 тыс. дашбордов и 425 тыс. графиков
🔻 17 аналитических баз, в которых около 17,3 трлн строк🤯

Разведку провёл его личный ИИ-хакбот Antares, но догадаться, что поле с почтой может означать локальный логин, нейросеть не смогла. Человек просто попробовал сам вбить «admin» и это сработало.🤖

«Было 2 часа ночи. Хотелось заорать, но родители спали. Так что я просто сидел, смотрел...», — пишет автор.

Microsoft закрыла дыру, выплатила $5000 школьнику и попросила переписать часть поста в его блоге, смягчив описание последствий.💰
================
У этого канала есть YouTube👁