Шестнадцатилетний исследователь безопасности под псевдонимом Faav обнаружил уязвимость в аналитической платформе Microsoft Titan. С помощью разработанного им ИИ-бота Antares он выявил API-интерфейс, который не требовал проверки цифровой подписи JWT-токенов. Это позволило исследователю выполнить SQL-запросы с правами администратора.
В ходе тестирования Faav получил доступ к базе данных, содержащей около 25 000 записей об учетных записях сотрудников. По оценкам исследователя, общий объем доступных данных достигал 17,3 триллиона записей, включая информацию, связанную с аналитикой Bing. Уязвимость была найдена через незащищенный маршрут API, который поддерживал прямые SQL-запросы.
О находке исследователь сообщил в Microsoft 5 сентября. К 9 сентября компания заблокировала скомпрометированный интерфейс. 17 сентября Microsoft выплатила Faav вознаграждение в размере $5 000. 22 сентября стороны провели встречу для обсуждения деталей инцидента и координации раскрытия информации об уязвимости.
В официальном заявлении представители Microsoft поблагодарили исследователя за помощь в укреплении безопасности сервисов. Компания участвовала в редактировании отчета перед его публикацией. Microsoft подчеркнула, что продолжит развивать программу поиска уязвимостей и сотрудничать с независимыми экспертами для защиты данных своих клиентов.
