ОтветыОпубликовано17 источники
Ошибка в Microsoft Titan открывала доступ к 17 базам данных — но 17,3 трлн строк никто не просматривал
16 летний исследователь Faav сообщил, что поддельный токен позволил ему выполнять SQL запросы с правами администратора без учётной записи Microsoft. 17,3 трлн — оценка числа строк в 17 доступных базах ClickHouse, а не количество просмотренных или скачанных данных.
ОпубликовалОтредактировано с помощью GPT-6 SolИзображения созданы с помощью GPT Image 2
Ответ на исследование
Ключевые выводы
- 16 летний исследователь Faav сообщил, что поддельный токен позволил ему выполнять SQL запросы с правами администратора без учётной записи Microsoft.
- 17,3 трлн — оценка числа строк в 17 доступных базах ClickHouse, а не количество просмотренных или скачанных данных.
- По сообщениям, Microsoft закрыла уязвимую точку доступа 9 сентября 2026 года. Выплата вознаграждения и случаи более раннего использования ошибки не подтверждены.
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: How did 16-year-old researcher Faav and his AI tool Antares discover and exploit the unsigned JWT flaw in Microsoft’s publicly reachable Tit. Article summary: Faav reported that Microsoft’s publicly reachable Titan analytics API accepted a forged, unsigned login token as an administrator, allowing unauthorized SQL queries. The estimated 17.3 trillion rows describe potential re. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Главное в истории Microsoft Titan — разница между доступом к данным и фактическим просмотром данных. 16-летний исследователь, известный как Faav, обнаружил, что доступный извне интерфейс программирования (API) внутреннего аналитического сервиса принимал токен входа без проверки его подписи. Это позволяло выдать себя за администратора и отправлять SQL-запросы без учётных данных Microsoft. 2
11
Почему сработал поддельный токен
Titan проверял поля токена JWT — в том числе идентификаторы клиента и приложения, назначение токена и пользователя, — но не проверял цифровую подпись, которая должна подтверждать подлинность этих сведений. По опубликованным описаниям, сервис принял токен с алгоритмом подписи none и значением admin в поле пользователя upn как вход администратора. 1
6
В одном из вторичных описаний говорится, что ИИ-инструмент Faav под названием Antares помог обнаружить публичный API Titan. Однако имеющиеся сведения не позволяют установить, какие именно действия инструмент выполнил при поиске или проверке ошибки. Приписывать ему конкретный способ обнаружения уязвимости было бы необоснованно. 12
Что означают 17,3 трлн строк
Полученный доступ позволял обращаться через Titan к 17 базам данных ClickHouse. Faav оценил по служебным сведениям баз, что в них хранится около 17,3 трлн строк. Это оценка потенциального масштаба доступа, а не число уникальных людей, просмотренных записей или скачанных строк. 2
6
11
По словам Faav, для оценки последствий он изучал описания таблиц, метаданные и ограниченные выборки строк. Согласно сообщениям, персональные данные клиентов он не просматривал. Точное число строк, которые исследователь проверил, по доступным сведениям установить нельзя. 11
10
Что известно о реакции Microsoft
По сообщениям, Microsoft закрыла затронутую точку доступа 9 сентября 2026 года. Позже в сентябре Faav опубликовал рассказ об уязвимости; приведённое в нём заявление Microsoft содержит благодарность за сообщение и согласованное раскрытие информации. 7
11
Подтверждённых сведений о выплате вознаграждения или его размере нет. Faav сообщил, что не нашёл признаков использования ошибки злоумышленниками, но это не доказывает, что до его обнаружения уязвимостью никто не воспользовался. 10
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «Ошибка в Microsoft Titan открывала доступ к 17 базам данных — но 17,3 трлн строк никто не просматривал»?
16 летний исследователь Faav сообщил, что поддельный токен позволил ему выполнять SQL запросы с правами администратора без учётной записи Microsoft.
Какие ключевые моменты необходимо проверить в первую очередь?
16 летний исследователь Faav сообщил, что поддельный токен позволил ему выполнять SQL запросы с правами администратора без учётной записи Microsoft. 17,3 трлн — оценка числа строк в 17 доступных базах ClickHouse, а не количество просмотренных или скачанных данных.
Что мне делать дальше на практике?
По сообщениям, Microsoft закрыла уязвимую точку доступа 9 сентября 2026 года. Выплата вознаграждения и случаи более раннего использования ошибки не подтверждены.