Lỗ hổng Microsoft Titan: Faav truy cập được gì, và 17,3 nghìn tỷ dòng dữ liệu nghĩa là sao?

Điều đáng chú ý trong vụ Microsoft Titan không chỉ là con số 17,3 nghìn tỷ dòng dữ liệu. Theo báo cáo của Faav, nhà nghiên cứu 16 tuổi, một API của dịch vụ phân tích dữ liệu nội bộ Titan có thể được truy cập từ bên ngoài đã chấp nhận token đăng nhập mà không xác thực chữ ký. Nhờ đó, anh có thể nhận quyền quản trị và gửi truy vấn SQL mà không cần thông tin đăng nhập Microsoft. Con số 17,3 nghìn tỷ là ước tính về phạm vi có thể truy cập, không phải lượng dữ liệu anh đã đọc hay tải xuống. 211

Token không có chữ ký vì sao vẫn được nhận?

JWT là loại token chứa các thông tin nhận dạng và quyền truy cập; chữ ký giúp hệ thống kiểm tra rằng những thông tin ấy thực sự đến từ bên phát hành hợp lệ. Theo các bài tường thuật, Titan kiểm tra các trường như tenant, đối tượng nhận token, ID ứng dụng và danh tính người dùng, nhưng lại không xác thực chữ ký. Một token giả mạo khai báo thuật toán ký none và đặt trường danh tính upn thành admin đã được chấp nhận như phiên đăng nhập quản trị, cho phép thực hiện truy vấn SQL trái phép. 16

Một nguồn thứ cấp nói công cụ AI Antares của Faav đã phát hiện API công khai của Titan. Tuy nhiên, các tài liệu hiện có không làm rõ Antares đã thực hiện những bước cụ thể nào để tìm hoặc kiểm tra lỗi xác thực; không thể quy cách khai thác token cho một kỹ thuật AI cụ thể. 12

17,3 nghìn tỷ dòng đo điều gì?

Quyền truy cập nói trên mở đường tới 17 cơ sở dữ liệu ClickHouse qua các tuyến truy vấn của Titan. Faav dùng siêu dữ liệu cơ sở dữ liệu để ước tính tổng số dòng được lưu trữ có thể truy cập là khoảng 17,3 nghìn tỷ. Đây không phải số người dùng duy nhất, số bản ghi bị tải xuống hay số dòng được đọc trong quá trình kiểm tra. 2611

Faav cho biết anh chỉ xem mô tả bảng, siêu dữ liệu và những dòng mẫu có giới hạn để đánh giá mức độ ảnh hưởng. Các bài tường thuật nói anh không truy cập thông tin định danh cá nhân của khách hàng. Tài liệu hiện có không đủ để xác định chính xác anh đã xem bao nhiêu dòng. 1110

Microsoft đã phản hồi ra sao?

Theo các bài tường thuật, Microsoft đóng điểm truy cập bị ảnh hưởng vào ngày 9/9/2026. Faav công bố bài viết về vụ việc sau đó trong tháng 9; bài viết có kèm tuyên bố của Microsoft cảm ơn anh vì báo cáo và việc phối hợp công bố lỗ hổng. 711

Chưa có căn cứ xác nhận Faav đã nhận tiền thưởng hay số tiền là bao nhiêu. Anh nói không tìm thấy dấu hiệu lỗ hổng bị khai thác với mục đích xấu, nhưng điều đó không chứng minh rằng chưa từng có ai sử dụng nó trước khi anh phát hiện. 10