16-летний исследователь нашёл баг в Microsoft Titan и получил админ-доступ к базам на 17,3 трлн строк

16-летний исследователь под псевдонимом Faav обнаружил, что сервис Microsoft Titan не проверял подпись JWT-токена, и получил админ-доступ к аналитическим базам примерно на 17,3 трлн строк. Microsoft закрыла уязвимость и выплатила $5000 по программе bug bounty.

• Titan не проверял подпись JWT, что позволило подделать токен с именем admin
• Доступ открывал 24 569 дашбордов, 425 891 график и 27 347 наборов данных
• Через 24 конфигурации исследователь дошёл до 17 подключённых баз и 9863 таблиц
• Microsoft закрыла API и выплатила $5000 17 сентября