AnswersPublished17 sources
Microsoft Titan-feilen: Hva Faav fikk tilgang til – og hva det enorme radtallet betyr
Faav fikk ifølge sin rapport administratoradgang uten Microsoft konto og kunne sende SQL spørringer til 17 ClickHouse databaser. Anslaget på 17 300 milliarder rader gjelder mulig rekkevidde.
Publisert avRedigert med GPT-6 SolBilder generert med GPT Image 2
Research answer
Key takeaways
- Faav fikk ifølge sin rapport administratoradgang uten Microsoft konto og kunne sende SQL spørringer til 17 ClickHouse databaser.
- Anslaget på 17 300 milliarder rader gjelder mulig rekkevidde. Faav sier han begrenset undersøkelsen til metadata, tabellbeskrivelser og små utvalg.
- Microsoft stengte det berørte API endepunktet 9. september 2026.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did 16-year-old researcher Faav and his AI tool Antares discover and exploit the unsigned JWT flaw in Microsoft’s publicly reachable Tit. Article summary: Faav reported that Microsoft’s publicly reachable Titan analytics API accepted a forged, unsigned login token as an administrator, allowing unauthorized SQL queries. The estimated 17.3 trillion rows describe potential re. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Den 16 år gamle sikkerhetsforskeren Faav fant en feil i Microsofts interne analysetjeneste Titan. Et offentlig tilgjengelig API godtok en påloggingstoken uten å kontrollere signaturen. Dermed kunne han utgi seg for å være administrator og sende SQL-spørringer uten Microsoft-legitimasjon. Anslaget på 17 300 milliarder rader sier noe om hvor mye data som kunne nås – ikke hvor mye Faav undersøkte. 2
11
Hvorfor virket en falsk token?
Titan kontrollerte opplysninger i en JSON Web Token (JWT), blant annet hvilken bruker og applikasjon den gjaldt. Men tjenesten kontrollerte ikke den digitale signaturen som skulle bekrefte at opplysningene var ekte. En konstruert token med signeringsalgoritmen none og brukerfeltet upn satt til admin ble derfor godtatt som en administratorpålogging. Det åpnet for SQL-spørringer uten autorisasjon. 1
6
En sekundærkilde skriver at Faavs KI-verktøy Antares fant Titans offentlige API under undersøkelsen. Kildene viser ikke hvilke konkrete skritt verktøyet tok for å finne eller teste selve autentiseringsfeilen. Det er derfor ikke grunnlag for å tilskrive tokenangrepet en bestemt KI-generert fremgangsmåte. 12
Hva målte de 17 300 milliardene?
Administratoradgangen ga tilgang til spørringer mot 17 ClickHouse-databaser. Faav brukte databasemetadata til å anslå at de inneholdt rundt 17 300 milliarder lagrede rader. Det er ikke et antall unike personer, nedlastede oppføringer eller rader han leste under testingen. 2
6
11
Faav sier han undersøkte tabellbeskrivelser, metadata og avgrensede utvalg for å vurdere rekkevidden. Ifølge omtalen fikk han ikke tilgang til personidentifiserende kundeopplysninger. Kildene gir ikke et pålitelig eksakt tall for hvor mange rader han faktisk så på. 11
10
Hva gjorde Microsoft?
Ifølge omtalen stengte Microsoft det berørte API-endepunktet 9. september 2026. Faav publiserte sin redegjørelse senere samme måned. I den takket Microsoft ham for innrapporteringen og den koordinerte offentliggjøringen. 7
11
Det foreligger ikke bekreftelse i kildene på at Faav fikk utbetalt en dusør, eller hvor stor den i så fall var. Han opplyste at han ikke fant tegn til ondsinnet utnyttelse. Det beviser ikke at ingen hadde brukt feilen før han fant den. 10
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Microsoft Titan-feilen: Hva Faav fikk tilgang til – og hva det enorme radtallet betyr"?
Faav fikk ifølge sin rapport administratoradgang uten Microsoft konto og kunne sende SQL spørringer til 17 ClickHouse databaser.
What are the key points to validate first?
Faav fikk ifølge sin rapport administratoradgang uten Microsoft konto og kunne sende SQL spørringer til 17 ClickHouse databaser. Anslaget på 17 300 milliarder rader gjelder mulig rekkevidde. Faav sier han begrenset undersøkelsen til metadata, tabellbeskrivelser og små utvalg.
What should I do next in practice?
Microsoft stengte det berørte API endepunktet 9. september 2026.