AnswersPublished17 sources
Microsoft Titan accepterede usigneret login: Hvad fik Faav adgang til?
Et forfalsket login token uden verificeret signatur gav ifølge rapporteringen Faav mulighed for at sende SQL forespørgsler som administrator til 17 ClickHouse databaser. De 17,3 billioner datarækker er et skøn over, hvad der var inden for rækkevidde – ikke et mål for, hvor meget Faav læste eller hentede.
Udgivet afRedigeret med GPT-6 SolBilleder genereret med GPT Image 2
Research answer
Key takeaways
- Et forfalsket login token uden verificeret signatur gav ifølge rapporteringen Faav mulighed for at sende SQL forespørgsler som administrator til 17 ClickHouse databaser.
- De 17,3 billioner datarækker er et skøn over, hvad der var inden for rækkevidde – ikke et mål for, hvor meget Faav læste eller hentede.
- Microsoft lukkede den berørte adgang den 9. september 2026.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did 16-year-old researcher Faav and his AI tool Antares discover and exploit the unsigned JWT flaw in Microsoft’s publicly reachable Tit. Article summary: Faav reported that Microsoft’s publicly reachable Titan analytics API accepted a forged, unsigned login token as an administrator, allowing unauthorized SQL queries. The estimated 17.3 trillion rows describe potential re. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Det vigtigste skel i sagen om Microsoft Titan er mellem adgang og faktisk dataindsigt. Den 16-årige sikkerhedsforsker Faav fandt en fejl i den offentligt tilgængelige API til Microsofts interne analysetjeneste. Fejlen lod ham udgive sig for at være administrator og sende SQL-forespørgsler uden Microsoft-login. Hans skøn på 17,3 billioner datarækker handler om den mulige rækkevidde – ikke om data, han hentede eller gennemgik. 2
11
Hvorfor virkede det falske login?
Titan læste oplysningerne i et JSON Web Token (JWT), blandt andet om brugeridentitet og hvilken tjeneste tokenet var tiltænkt. Men tjenesten kontrollerede ikke den digitale signatur, der skulle bekræfte, at oplysningerne var ægte. Et forfalsket token med signeringsalgoritmen none og værdien admin i identitetsfeltet upn blev derfor accepteret som et administratorlogin. Det gav mulighed for uautoriserede SQL-forespørgsler. 1
6
En sekundær kilde skriver, at Faavs AI-værktøj Antares fandt Titans offentlige API. Det tilgængelige materiale viser dog ikke præcist, hvilke skridt værktøjet tog, eller om det fandt selve loginfejlen. 12
Hvad dækker de 17,3 billioner over?
Administratoradgangen nåede gennem Titan til 17 ClickHouse-databaser. Ud fra databasernes metadata anslog Faav, at de tilsammen rummede omkring 17,3 billioner lagrede rækker. En række er ikke nødvendigvis én person eller én unik oplysning, og tallet er hverken et mål for downloadede data eller for antallet af rækker, han læste under sine tests. 2
6
11
Faav oplyser, at han begrænsede sin undersøgelse til tabelbeskrivelser, metadata og afgrænsede stikprøver. Ifølge rapporteringen tilgik han ikke kunders personhenførbare oplysninger. Kilderne giver ikke grundlag for at sætte et præcist tal på, hvor mange rækker han faktisk undersøgte. 11
10
Hvad gjorde Microsoft?
Ifølge rapporteringen lukkede Microsoft den berørte API-adgang 9. september 2026. Faav offentliggjorde sin beretning senere samme måned; en udtalelse fra Microsoft gengivet i den takker ham for indberetningen og den koordinerede offentliggørelse. 7
11
Det tilgængelige materiale dokumenterer hverken en udbetalt dusør eller et beløb. Faav siger, at han ikke fandt tegn på ondsindet udnyttelse. Det er ikke det samme som bevis for, at ingen brugte fejlen før ham. 10
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Microsoft Titan accepterede usigneret login: Hvad fik Faav adgang til?"?
Et forfalsket login token uden verificeret signatur gav ifølge rapporteringen Faav mulighed for at sende SQL forespørgsler som administrator til 17 ClickHouse databaser.
What are the key points to validate first?
Et forfalsket login token uden verificeret signatur gav ifølge rapporteringen Faav mulighed for at sende SQL forespørgsler som administrator til 17 ClickHouse databaser. De 17,3 billioner datarækker er et skøn over, hvad der var inden for rækkevidde – ikke et mål for, hvor meget Faav læste eller hentede.
What should I do next in practice?
Microsoft lukkede den berørte adgang den 9. september 2026.