RespuestasPublicado17 fuentes
Titan aceptaba tokens sin firma: el alcance del hallazgo de Faav
Faav, de 16 años, consiguió acceso de administrador para enviar consultas SQL a 17 bases de datos ClickHouse mediante un token sin firma. Los 17,3 billones de filas son una estimación de lo que estaba al alcance, no de lo que descargó o examinó.
Publicado porEditado con GPT-6 SolImágenes generadas con GPT Image 2
Respuesta de investigación
Conclusiones clave
- Faav, de 16 años, consiguió acceso de administrador para enviar consultas SQL a 17 bases de datos ClickHouse mediante un token sin firma.
- Los 17,3 billones de filas son una estimación de lo que estaba al alcance, no de lo que descargó o examinó.
- Microsoft cerró el punto de acceso afectado el 9 de septiembre de 2026. No hay una recompensa verificada ni pruebas concluyentes sobre posibles usos anteriores del fallo.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: How did 16-year-old researcher Faav and his AI tool Antares discover and exploit the unsigned JWT flaw in Microsoft’s publicly reachable Tit. Article summary: Faav reported that Microsoft’s publicly reachable Titan analytics API accepted a forged, unsigned login token as an administrator, allowing unauthorized SQL queries. The estimated 17.3 trillion rows describe potential re. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
La cifra impresiona, pero necesita contexto: 17,3 billones de filas —es decir, 17,3 millones de millones— es la estimación de los datos a los que se podía llegar a través de Titan, un servicio interno de análisis de Microsoft. No significa que Faav, el investigador de 16 años que notificó el fallo, leyera o descargara esa cantidad. 2
11
Cómo llegó a tener acceso de administrador
La API de Titan era accesible públicamente y aceptaba un token de inicio de sesión sin comprobar su firma. Según los relatos del hallazgo, el servicio revisaba datos declarados dentro del token, como el identificador del inquilino, la aplicación y la identidad del usuario, pero omitía la verificación que debía autenticar esas declaraciones. Faav pudo presentar un token JWT —un formato de credencial digital— con el algoritmo none y el campo de identidad upn configurado como admin. Titan lo aceptó como administrador sin exigir credenciales de Microsoft, lo que permitió enviar consultas SQL no autorizadas. 1
6
Una fuente secundaria señala que Antares, una herramienta de IA de Faav, identificó la API pública durante la investigación. Las fuentes disponibles no permiten precisar qué pasos realizó la herramienta ni atribuirle el descubrimiento del fallo de autenticación. 12
Qué midió Faav y qué examinó realmente
El acceso alcanzaba 17 bases de datos ClickHouse a través de las rutas de consulta de Titan. Faav utilizó metadatos de las bases para calcular que contenían aproximadamente 17,3 billones de filas almacenadas. Es una medida del alcance potencial: no equivale a personas únicas, archivos descargados ni filas leídas durante sus pruebas. 2
6
11
Según su relato, limitó la comprobación a descripciones de tablas, metadatos y pequeñas muestras acotadas. La información publicada indica que no accedió a datos personales identificables de clientes, pero no permite establecer un total exacto de filas examinadas. 11
10
La respuesta de Microsoft y lo que sigue sin saberse
Según lo publicado, Microsoft cerró el punto de acceso afectado el 9 de septiembre de 2026. Faav hizo público su relato más adelante ese mes e incluyó una declaración en la que Microsoft agradecía su aviso y la divulgación coordinada. 7
11
Las fuentes disponibles no confirman que recibiera una recompensa ni indican un importe verificado. Faav dijo no haber encontrado indicios de explotación maliciosa; eso no demuestra que nadie utilizara el fallo antes de que él lo detectara. 10
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
La gente también pregunta
¿Cuál es la respuesta corta a "Titan aceptaba tokens sin firma: el alcance del hallazgo de Faav"?
Faav, de 16 años, consiguió acceso de administrador para enviar consultas SQL a 17 bases de datos ClickHouse mediante un token sin firma.
¿Cuáles son los puntos clave a validar primero?
Faav, de 16 años, consiguió acceso de administrador para enviar consultas SQL a 17 bases de datos ClickHouse mediante un token sin firma. Los 17,3 billones de filas son una estimación de lo que estaba al alcance, no de lo que descargó o examinó.
¿Qué debo hacer a continuación en la práctica?
Microsoft cerró el punto de acceso afectado el 9 de septiembre de 2026. No hay una recompensa verificada ni pruebas concluyentes sobre posibles usos anteriores del fallo.