Una puerta VPN y una ventana de API dejadas abiertas
Un investigador de 16 años, Faav, aprovechó su herramienta de automatización, Antares, para descubrir Titan, un servicio de análisis interno de Microsoft. Este descubrimiento expuso un error arquitectónico crítico: una VPN corporativa aseguraba la interfaz web de Titan, pero su API alojada en la nube y la documentación asociada permanecían accesibles públicamente. Este desajuste en los límites creó una vulnerabilidad inmediata.
Fundamentalmente, una ruta de API específica, /v2/Query, omitía la autenticación estándar de Entra ID. A diferencia de otras rutas documentadas, /v2/Query supuestamente aceptaba consultas SQL sin procesar directamente, ofreciendo un vector de acceso no autenticado a la infraestructura de datos interna de Microsoft. Esta exposición singular representó un lapso significativo en el control de acceso.
Faav explotó esta ventana abierta, demostrando cómo una API expuesta públicamente, junto con un mecanismo de autenticación omitido, puede socavar incluso las defensas perimetrales más robustas. Este incidente subraya la necesidad de auditorías de seguridad integrales en todas las interfaces de servicio, no solo en el front-end.
El JWT verificaba todo, excepto la firma
El siguiente paso de Faav consistió en comprender la arquitectura interna de Titan. Utilizando una instantánea de 2023 de Wayback Machine, recuperó 56 definiciones de tablas, proporcionando un plano crítico de la estructura de datos del servicio. Este reconocimiento reveló los puntos de datos precisos disponibles para realizar consultas.
Luego vino el desafío de la autenticación. Titan utilizaba JSON Web Tokens (JWTs), y Faav observó una falla crítica: el servicio verificaba varias declaraciones (claims) del token, como el inquilino (tenant), la audiencia y el ID de la aplicación, pero omitía por completo la validación de la firma criptográfica. Este descuido hizo que la validación de las declaraciones careciera de sentido.
Un token con "alg": "none" en su encabezado y una carga útil de firma vacía podía, por lo tanto, pasar todas las comprobaciones. Sin una firma para verificar la integridad y el origen del token, Titan aceptaba las credenciales falsificadas como legítimas. La validación de declaraciones por sí sola no puede establecer confianza; es la verificación de la firma la que autentica al remitente del token y evita la manipulación. Faav ahora tenía un camino para eludir la seguridad de Titan.
Una palabra convirtió un token roto en acceso de administrador
Faav enfrentó un último obstáculo: la autenticación de usuario. Los nombres de usuario con formato de correo electrónico para Titan fallaban constantemente, a pesar del JWT falsificado. Tras intentos persistentes, un nombre de usuario simple y directo, admin, tuvo éxito, asignándose al UserID local 1, que inherentemente conllevaba un rol administrativo. Esta única palabra desbloqueó un acceso extenso.
Los privilegios de administrador revelaron una huella interna significativa. Faav obtuvo visibilidad de 30 objetivos de enrutamiento activos y 17 bases de datos de análisis, incluyendo el crítico Bing Analytics. Los metadatos expuestos abarcaban aproximadamente 25,000 cuentas internas de Microsoft.
Las cifras principales, como los 17,3 billones de filas estimadas, representaban la capacidad de almacenamiento teórica de las bases de datos accesibles, no registros confirmados a los que se accedió o que fueron exfiltrados. Faav mantuvo estrictos límites éticos, sin tocar nunca los datos de los clientes, y reportó la vulnerabilidad el mismo día. Para obtener contexto adicional sobre esta notable revelación, lea sobre Open Microsoft Database With 17 Trillion Total Rows and 25,000 User Accounts Hacked by a Bored Teenager. Microsoft corrigió el endpoint en cuatro días y otorgó una recompensa de $5,000.
¿Te está gustando? Recibe uno así en tu bandeja cada mañana.
un correo al día · date de baja en dos clics · sin rastreadores de terceros
Una solución de cuatro días y una lección de seguridad mayor
Faav practicó la divulgación responsable, confirmando que nunca accedió a los datos de los clientes. Microsoft respondió rápidamente, restringiendo el endpoint expuesto y reforzando las comprobaciones de tokens en un plazo de cuatro días. Esta rápida acción contuvo lo que podría haber sido una brecha catastrófica, dados los 17,3 billones de filas de datos a los que Faav podía llegar.
La recompensa de $5,000 otorgada a Faav provocó un debate en la comunidad. Muchos argumentaron que el pago fue modesto dado el impacto potencial del acceso administrativo a 30 objetivos de enrutamiento y 17 bases de datos analíticas, incluyendo Bing Analytics. La lección más amplia, sin embargo, va más allá de la recompensa.
Este incidente ofrece conclusiones críticas para los equipos de seguridad en la nube. Asegúrese de que sus sistemas verifiquen las firmas JWT y rechacen directamente los tokens sin firmar, especialmente aquellos que aprovechan la vulnerabilidad alg: "none". Además, elimine las cuentas privilegiadas predeterminadas como admin que se asignan a IDs de usuario predecibles.
Finalmente, las pruebas independientes de las rutas de API de backend son primordiales. Una interfaz protegida por VPN ofrece una falsa sensación de seguridad si los endpoints de la nube pública sin autenticar permanecen expuestos. Una seguridad robusta exige vigilancia en todas las capas, no solo en la puerta de entrada.
Preguntas frecuentes
¿Qué era Microsoft Titan?
Titan era un servicio de análisis interno de Microsoft que proporcionaba acceso a objetivos de enrutamiento y bases de datos analíticas.
¿Cómo obtuvo Faav acceso administrativo?
La API aceptaba un JWT sin verificar su firma, y el nombre de usuario “admin” estaba asignado a una cuenta con privilegios administrativos.
¿Se robaron datos de los 17,3 billones de filas?
No se reportó ningún robo confirmado de datos de clientes. La cifra describía un volumen de almacenamiento máximo teórico, y Faav dijo que no accedió a los datos de los clientes.
¿Cómo respondió Microsoft?
Según se informa, Microsoft corrigió el endpoint expuesto en cuatro días y otorgó a Faav una recompensa de $5,000 por encontrar el error.