Lỗ hổng xác thực JWT trên nền tảng Titan của Microsoft và vụ rò rỉ 17.000 tỷ dòng dữ liệu
Hacker 17 tuổi Faav dùng trợ lý AI Antares phát hiện lỗi kiểm tra chữ ký số JWT của Microsoft, tiếp cận kho dữ liệu khổng lồ trước khi nhận thưởng 5.000 USD.
Nền tảng phân tích nội bộ Titan của tập đoàn Microsoft vừa bị phát hiện tồn tại một lỗ hổng xác thực nghiêm trọng. Sự cố kỹ thuật này cho phép một nhà nghiên cứu bảo mật mới 17 tuổi mang biệt danh Faav vượt qua các tầng kiểm soát an ninh, tiếp cận trực tiếp kho dữ liệu khổng lồ chứa tới 17.000 tỷ dòng thông tin lưu trữ của tập đoàn công nghệ hàng đầu thế giới.
Điểm yếu kiến trúc tại endpoint truy vấn dữ liệu Azure
Vấn đề kỹ thuật bắt nguồn từ giao diện lập trình ứng dụng (API) phục vụ nền tảng phân tích nội bộ Titan triển khai trên nền tảng đám mây Azure. Theo ghi nhận từ trang tin công nghệ Tom's Hardware, trong khi cổng giao tiếp chính của hệ thống được bảo vệ nghiêm ngặt và bắt buộc phải kết nối thông qua mạng riêng ảo (VPN), hệ thống lại để lộ một đường dẫn phụ mang tên /v2/Query.
Đáng chú ý, đường dẫn /v2/Query hoàn toàn bỏ qua bước xác thực tập trung thông qua Azure Active Directory. Điểm cuối (endpoint) này được thiết kế để tiếp nhận và xử lý trực tiếp các câu lệnh truy vấn cơ sở dữ liệu SQL. Việc thiếu vắng lớp bảo vệ tiền sảnh đã tạo điều kiện cho các yêu cầu từ mạng internet công cộng tiếp cận thẳng vào tầng logic xử lý dữ liệu.
Bỏ qua xác minh chữ ký số trong chuỗi mã JSON Web Token
Khi gửi yêu cầu truy vấn đến endpoint /v2/Query, hệ thống ban đầu từ chối phản hồi với lý do thiếu mã xác thực JSON Web Token (JWT). JWT là tiêu chuẩn công nghiệp mở dùng để truyền tải các tuyên bố xác thực giữa các bên dưới dạng chuỗi đối tượng JSON, thường bao gồm ba phần: Header, Payload và Signature (chữ ký mật mã).
Tuy nhiên, phân tích sâu hơn về mặt kỹ thuật cho thấy một thiếu sót nghiêm trọng trong mã nguồn kiểm tra của Microsoft. Máy chủ chỉ rà soát tính hiện diện của chuỗi ký tự JWT trong tiêu đề yêu cầu (HTTP Header), nhưng hoàn toàn bỏ qua bước giải mã và đối soát tính toàn vẹn của chữ ký mật mã đi kèm.
| Tiêu chí kỹ thuật | Quy trình chuẩn an toàn | Lỗ hổng trên nền tảng Titan |
|---|---|---|
| Kiểm tra sự tồn tại của Token | Bắt buộc có chuỗi JWT hợp lệ | Chỉ kiểm tra sự hiện diện bề mặt |
| Xác thực chữ ký số (Signature) | Đối soát bằng khóa công khai hoặc bí mật | Bỏ qua hoàn toàn bước đối soát |
| Quyền hạn người dùng | Xác định từ dữ liệu chữ ký hợp lệ | Chấp nhận quyền khai báo tùy ý |
| Cơ chế mạng ngoại vi | Buộc định tuyến qua VPN và Azure AD | Cho phép truy cập trực tiếp qua Internet |
Dựa trên sơ hở này, Faav đã tạo lập một chuỗi JWT giả mạo với phần tải trọng (payload) tự gán quyền quản trị viên cao nhất. Do hệ thống không thẩm định chữ ký mật mã, yêu cầu giả mạo lập tức được thông qua, mở toang quyền kiểm soát kho dữ liệu nội bộ.
Sức mạnh rà quét tự động từ trợ lý AI Antares
Để phát hiện ra điểm cuối ẩn này giữa hệ thống hạ tầng mạng đồ sộ của Microsoft, Faav đã sử dụng trợ lý trí tuệ nhân tạo tự phát triển mang tên Antares. Hacker trẻ tuổi cho biết bản thân thường xuyên dành thời gian sau giờ học để rà soát điểm yếu trên các nền tảng công nghệ lớn như Microsoft, Amazon, Google và Adobe.
Trợ lý Antares hoạt động bền bỉ, thực hiện các thao tác thu thập thông tin mạng và quét tự động liên tục trong 10 ngày đêm. Sự kết hợp giữa khả năng xử lý quy mô lớn của AI và tư duy phân tích bảo mật đã giúp xác định chính xác endpoint /v2/Query vào cuối tháng 8.
Quy mô dữ liệu bị ảnh hưởng và phản hồi từ Microsoft
Sau khi nâng quyền quản trị thành công, Faav có thể truy xuất thông tin nội bộ của 25.000 nhân sự làm việc tại Microsoft, bao gồm cấu trúc nhân sự, biểu đồ và các báo cáo nội bộ liên quan. Nghiêm trọng hơn, khi tiếp cận phân khu dữ liệu phân tích thuộc công cụ tìm kiếm Bing, quyền truy cập này cho phép mở khóa tới 17.000 tỷ dòng dữ liệu lưu trữ.
Hacker 17 tuổi đã thực hiện báo cáo trách nhiệm thông qua chương trình săn lỗi nhận thưởng (Bug Bounty) của Microsoft. Sau khi tiếp nhận thông tin và tiến hành vá lỗ hổng, tập đoàn công nghệ đã trao khoản tiền thưởng 5.000 USD vào cuối tháng 9 nhằm ghi nhận đóng góp kỹ thuật này.
