AnswersPublished17 sources
Microsoft Titan açığı: Faav neye erişti, ne kadar veri inceledi?
16 yaşındaki araştırmacı Faav, imzası doğrulanmayan sahte bir belirteçle yönetici yetkisinde SQL sorguları çalıştırabildiğini bildirdi. 17,3 trilyon satır, 17 ClickHouse veritabanında erişilebilir olduğu tahmin edilen toplamı ifade ediyor; Faav’ın okuduğu veya indirdiği veri miktarını değil.
YayımlayanGPT-6 Sol ile düzenlendiGörseller GPT Image 2 ile oluşturuldu
Research answer
Key takeaways
- 16 yaşındaki araştırmacı Faav, imzası doğrulanmayan sahte bir belirteçle yönetici yetkisinde SQL sorguları çalıştırabildiğini bildirdi.
- 17,3 trilyon satır, 17 ClickHouse veritabanında erişilebilir olduğu tahmin edilen toplamı ifade ediyor; Faav’ın okuduğu veya indirdiği veri miktarını değil.
- Microsoft etkilenen API erişim noktasını 9 Eylül 2026’da kapattı. Doğrulanmış bir ödül tutarı veya daha önce kötüye kullanım yaşandığına ilişkin kanıt bulunmuyor.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did 16-year-old researcher Faav and his AI tool Antares discover and exploit the unsigned JWT flaw in Microsoft’s publicly reachable Tit. Article summary: Faav reported that Microsoft’s publicly reachable Titan analytics API accepted a forged, unsigned login token as an administrator, allowing unauthorized SQL queries. The estimated 17.3 trillion rows describe potential re. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Microsoft’un şirket içi veri analizi hizmeti Titan’a ait, internetten erişilebilen bir API’deki kimlik doğrulama açığı, araştırmacı Faav’ın gerçek Microsoft kimlik bilgileri olmadan yönetici yetkisi elde etmesine olanak tanıdı. 16 yaşındaki araştırmacının açıkladığı 17,3 trilyon satır, incelediği veri miktarı değil; sorgu erişimi sağlayabildiği veritabanlarının tahmini büyüklüğü. 2
11
Sahte belirteç nasıl kabul edildi?
Titan, oturum açmak için kullanılan JSON Web Token (JWT) içindeki kiracı, hedef uygulama ve kullanıcı kimliği gibi alanları kontrol ediyordu. Ancak bu bilgilerin gerçekten yetkili bir kaynaktan geldiğini doğrulaması gereken dijital imzayı kontrol etmiyordu. Faav, imzalama algoritmasını none olarak gösteren ve kullanıcı kimliğine ilişkin upn alanına admin yazan sahte bir belirteçle yönetici olarak kabul edildi. Böylece Titan üzerinden yetkisiz SQL sorguları gönderebildi. 1
6
İkincil bir anlatıma göre Faav’ın Antares adlı yapay zekâ aracı, araştırma sırasında Titan’ın herkese açık API’sini tespit etti. Ancak eldeki kaynaklar, Antares’in açığın bulunmasında veya test edilmesinde tam olarak hangi adımları attığını ortaya koymuyor. Bu nedenle yöntemi belirli bir yapay zekâ tekniğine bağlamak mümkün değil. 12
17,3 trilyon satır: erişim kapsamı, incelenen veri değil
Yönetici düzeyindeki sorgu erişimi, Titan’ın sorgu yolları üzerinden 17 ClickHouse veritabanına uzanıyordu. Faav, veritabanı meta verilerini kullanarak bu veritabanlarında yaklaşık 17,3 trilyon satır bulunduğunu hesapladı. Bu sayı benzersiz kişi sayısını, indirilen kayıtları veya test sırasında okunan satırları göstermiyor. 2
6
11
Faav, olası etkiyi anlamak için tablo açıklamalarını, meta verileri ve sınırlandırılmış örnek satırları incelediğini söylüyor. Haberlerde müşteri kimliğini belirleyebilecek kişisel bilgilere erişmediği belirtiliyor. Mevcut kaynaklar, toplamda tam olarak kaç satır incelediğini saptamaya yetmiyor. 11
10
Microsoft ne yaptı, neler belirsiz?
Haberlere göre Microsoft, etkilenen API erişim noktasını 9 Eylül 2026’da kapattı. Faav, bulgularını aynı ayın sonlarında yayımladı; paylaşımında yer alan Microsoft açıklaması da bildirimi ve koordineli açıklama sürecini takdir etti. 7
11
Eldeki bilgiler, Faav’a bir güvenlik açığı ödülü ödenip ödenmediğini veya ödenmişse tutarını doğrulamıyor. Faav kötü niyetli kullanıma dair kanıt bulmadığını bildirdi; bu, açığın kendisinden önce hiç kullanılmadığını kesin olarak göstermiyor. 10
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Microsoft Titan açığı: Faav neye erişti, ne kadar veri inceledi?"?
16 yaşındaki araştırmacı Faav, imzası doğrulanmayan sahte bir belirteçle yönetici yetkisinde SQL sorguları çalıştırabildiğini bildirdi.
What are the key points to validate first?
16 yaşındaki araştırmacı Faav, imzası doğrulanmayan sahte bir belirteçle yönetici yetkisinde SQL sorguları çalıştırabildiğini bildirdi. 17,3 trilyon satır, 17 ClickHouse veritabanında erişilebilir olduğu tahmin edilen toplamı ifade ediyor; Faav’ın okuduğu veya indirdiği veri miktarını değil.
What should I do next in practice?
Microsoft etkilenen API erişim noktasını 9 Eylül 2026’da kapattı. Doğrulanmış bir ödül tutarı veya daha önce kötüye kullanım yaşandığına ilişkin kanıt bulunmuyor.