Microsoft veritabanlarında 17 trilyon satırı açığa çıkaran güvenlik açığı kapatıldı
Öne çıkanlar
- Titan adlı dahili servisin JWT imza doğrulaması yapmaması yönetici haklarıyla SQL çalıştırma imkanı verdi.
- Açıktan etkilenen 17 bağlı analitik veritabanında toplam 17,3 trilyon veri satırı yer alıyordu.
- Microsoft açığı kapatarak araştırmacıya hata ödül programı kapsamında 5 bin dolar ödeme yaptı.
Faav adlı bağımsız bir güvenlik araştırmacısı, Microsoft bünyesindeki dahili bir analiz servisinde kimlik doğrulama belirteci imzasını doğrulamayan kritik bir güvenlik açığı keşfetti. Titan adlı servis üzerinde bulunan hata, saldırganların herhangi bir geçerli kimlik bilgisi olmadan yönetici haklarıyla doğrudan SQL sorguları çalıştırmasına imkan tanıdı. Açık, yaklaşık 17,3 trilyon satırlık analitik ve operasyonel verinin bulunduğu veritabanı altyapısını doğrudan erişilebilir hale getirdi.
Araştırmacı, Antares isimli yapay zeka tabanlı güvenlik aracını kullanarak Titan servisinin Azure Cloud Services üzerinde barındırılan halka açık API uç noktasını tespit etti. Servisin imzasız JSON Web Token (JWT) içeriklerini kabul ettiğini fark eden araştırmacı, kullanıcı alanını yerel yönetici hesabıyla eşleştirerek korumalı sistemde SQL sorgusu yürütmeyi başardı. İncelemelerde 17 bağlı analitik veritabanı, 9 binden fazla tablo, çalışan e-postaları ve Bing arama analitiği verileri doğrulandı.
Bulgular, herhangi bir kullanıcı verisi kopyalanmadan Microsoft Güvenlik Yanıt Merkezi'ne (MSRC) raporlandı. Şirket, bildirimin ardından ilgili API uç noktasını derhal kapatarak sistemlerini güçlendirdi. Araştırmacıya hata ödül programı kapsamında 5 bin dolar ödül verildi ve teknik detaylar şirketin incelemesinin ardından kamuoyuyla paylaşıldı.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.