Microsoft'un yalnızca şirket çalışanlarının erişimine açık Titan analitik platformunda bulunan kritik bir güvenlik açığı, 16 yaşındaki bir lise öğrencisinin sistem üzerinde yönetici yetkileri elde etmesini sağladı. Faav adıyla bilinen genç siber güvenlik araştırmacısı, geçerli bir kimlik bilgisi kullanmadan SQL sorguları çalıştırırken, ulaştığı analitik veri tabanlarının yaklaşık 17,3 trilyon satır içerdiği tahmin ediliyor.
Söz konusu açığın ortaya çıkmasında Faav'ın geliştirdiği Antares adlı yapay zeka destekli hack robotu önemli bir rol oynadı. Antares, Titan'ın halka açık API yapısını incelerken giriş jetonlarındaki imzaların kontrol edilmediğini fark etti. Bunun üzerine Faav, Azure Bulut Servisleri üzerinden platformun API'sine erişim sağlamayı başardı.
Faav ve Antares yaklaşık 10 gün boyunca Titan'ın kimlik doğrulama mekanizmasını test etti. Araştırmanın sonucunda imzasız bir jetonla sistemdeki yerel kullanıcı arama özelliğine ulaşmak mümkün hale geldi. Genç araştırmacı daha sonra jetondaki kullanıcı bilgisini yönetici olarak değiştirdi. Titan bu kimliği sistemdeki 1 numaralı yerel yönetici kullanıcısı olarak kabul etti ve böylece Faav komut çalıştırma yetkisine sahip oldu.
Bu erişim, Titan'ın platform metadata veri tabanının da kapısını açtı. İnceleme sırasında binlerce Microsoft çalışanına ait e-posta kaydı, şirketin organizasyon yapısı, veri tabanı konfigürasyonları ve panolara ilişkin ayrıntılar ortaya çıktı. Kullanıcı dizinindeki çalışan unvanları ile yönetim hiyerarşisi gibi bilgilerin sosyal mühendislik saldırılarında kullanılabileceği de özellikle belirtildi.
Faav'ın gerçekleştirdiği testler yalnızca kullanıcı bilgileriyle sınırlı kalmadı. Arka plandaki konfigürasyonların incelenmesi sonucunda 17 farklı analitik veri tabanına bağlanan 30 aktif rotalama değeri tespit edildi. Bu veri tabanlarında geçmiş, yinelenmiş ve türetilmiş kayıtlarla birlikte yaklaşık 17,3 trilyon satır veri bulunduğu hesaplanıyor. Titan'ın dahili bir analitik servis olması nedeniyle bu erişim normal şartlarda yalnızca yetkili Microsoft çalışanlarıyla sınırlıydı.
Faav açığı tespit ettikten hemen sonra Microsoft'a bildirimde bulundu ve şirketin talebi doğrultusunda testlerini durdurdu. Microsoft ise konuyu incelemeye alarak API erişimini kilitledi ve tespit edilen güvenlik açıklarını kapattı. Başarılı çalışmanın ardından genç araştırmacıya şirketin güvenlik programı kapsamında 5 bin dolar ödül verildi.
