Microsoft「Titan」の認証不備、推定17兆3000億行は「閲覧された量」ではない

「17兆3000億行にアクセス可能」という数字は、17兆3000億行を読み取ったという意味ではない。16歳のセキュリティ研究者Faavが報告したのは、Microsoftの社内向け分析サービス「Titan」の公開状態にあったAPIが、署名を検証していないログイントークンを受け入れたという認証上の欠陥だ。これにより、Microsoftの認証情報を持たずに管理者を名乗り、SQLクエリを送信できたという。211

何を偽装できたのか

問題のトークンはJWT（JSON Web Token）と呼ばれる、利用者などの情報を含む形式だった。報告によると、Titanはテナント、利用先、アプリケーションID、利用者IDといったトークン内の項目を確認する一方、その内容が正当な発行元によるものかを確かめる署名検証をしていなかった。Faavは署名アルゴリズムをnoneとし、利用者を示すupn欄にadminを指定したトークンで、管理者として扱われた。その結果、権限のないSQLクエリを実行できたとされる。16

二次情報には、FaavのAIツール「Antares」が調査中にTitanの公開APIを見つけたとの記述もある。ただし、今回確認できる資料からは、Antaresが認証の欠陥を発見・検証する過程で具体的に何をしたかまでは分からない。12

17兆3000億行は「調べた量」ではない

管理者権限でのアクセスは、Titanのクエリ経路を通じて17のClickHouseデータベースに及んだ。Faavはデータベースのメタデータから、そこに保存された行数を約17兆3000億行と推定した。これは到達可能だったデータの規模を示す数字であり、重複のない人数でも、ダウンロードした件数でも、検証時に読み取った行数でもない。2611

Faav自身は、影響を確かめるために調べた範囲をテーブルの説明、メタデータ、件数を限定したサンプル行にとどめたとしている。報道では、顧客の個人識別情報にはアクセスしていないという。実際に確認した行数の正確な合計は、確認できる資料からは特定できない。1110

Microsoftの対応と、確認できないこと

報道によると、Microsoftは2026年9月9日に問題のエンドポイントを閉鎖した。Faavは同月下旬に経緯を公表しており、その記事には、報告と協調的な脆弱性開示に謝意を示すMicrosoftの声明も掲載されている。711

一方、確認できる資料では、脆弱性報奨金が支払われたかどうかや、その金額は裏付けられない。Faavは悪意ある第三者による悪用の証拠は見つからなかったとしているが、それだけで発見以前に誰も利用していなかったと断定することもできない。10