نفوذ نوجوان ۱۶ ساله به دیتابیس ۱۷ تریلیون رکوردی مایکروسافت با کمک هوش مصنوعی؛ اشتباه عجیبی که ۵ هزار دلار پاداش گرفت!

• یک شکارچی آسیب‌پذیری ۱۶ ساله تنها با یک توکن ورود بدون امضا که سیستم هرگز آن را بررسی نمی‌کرد، به دسترسی سطح مدیر (Admin) در سرویس تحلیل داده داخلی مایکروسافت یعنی Titan رسید.
• از آنجا، حدود ۱۷.۳ تریلیون ردیف داده ذخیره‌شده و جدول متاداده‌ای شامل ۲۵ هزار حساب کاربری در دسترس قرار گرفت؛ هرچند این نوجوان (با نام مستعار Faav) می‌گوید فقط داده‌ها را نمونه‌برداری کرده و هیچ رکوردی را کپی یا به داده‌های مشتریان دست‌درازی نکرده است.
• مایکروسافت از آن زمان امنیت این سرویس را ارتقا داده و ۵ هزار دلار پاداش به او پرداخت کرده است؛ البته ردموندی‌ها عدد ۱۷ تریلیون را صرفاً یک برآورد تئوری از ظرفیت ذخیره‌سازی دانسته‌اند، نه اطلاعات فاش‌شده واقعی کاربران.

یک شکارچی باگ ۱۶ ساله که با نام مستعار «Faav» فعالیت می‌کند، توانست با استفاده از توکنی ساختگی که در حالت عادی هیچ سیستم اعتبارسنجی معتبری نباید آن را صادر می‌کرد، وارد پلتفرم تحلیلی داخلی مایکروسافت موسوم به Titan شود. او با نشستن بر صندلی مدیریت این سیستم، به برآوردی بالغ بر ۱۷.۳ تریلیون ردیف داده ذخیره‌شده و یک جدول متاداده شامل نزدیک به ۲۵ هزار حساب کاربری دسترسی پیدا کرد.

مایکروسافت یک پاداش ۵ هزار دلاری به او پرداخت کرد و بلافاصله این رخنه امنیتی را بست؛ اقدامی که باعث شد این نوجوان جزئیات یافته‌های خود را به صورت آنلاین منتشر کند، هرچند خود او تأکید دارد که این آسیب‌پذیری بیش‌تر یک خطر بالقوه و فرضی بوده تا یک نشت فاجعه‌بار اطلاعات واقعی.

او می‌گوید تمام این ماجرا فقط از یک بررسی امنیتی از‌دست‌رفته آب می‌خورد؛ خطایی به ظاهر کوچک که به او اجازه داد به سیستمی دسترسی پیدا کند که در حالت عادی باید پشت دیوار محکم VPN و منحصراً برای کارمندان مایکروسافت قفل می‌بود.

اشتباهی ساده که در دستان افراد خرابکار فاجعه می‌آفرید

سرویس تایتان مایکروسافت پشت صفحه‌ای قرار دارد که پیام «نیاز به اتصال به VPN» را نشان می‌دهد تا رابط وب آن فقط برای کارمندان خود مایکروسافت باز باشد. اما نکته جالب اینجا بود که API این سرویس همچنان از طریق یکی از هاست‌های سرویس ابری آژور (Azure Cloud Services) در دسترس عموم قرار داشت و فایل Swagger که مستندات این API را نشان می‌داد، چهار مسیر دسترسی مختلف را مشخص کرده بود.

سه تا از این مسیرها نیاز به احراز هویت با اکانت آژور (Azure AD) داشتند؛ اما مسیر چهارم یعنی «v2/Query/» هیچ احراز هویتی نمی‌خواست و جالب‌تر اینکه کوئری‌های خام SQL را هم به راحتی می‌پذیرفت! همین موضوع راه ورود را به Faav نشان داد. البته او کورکورانه پیش نرفت؛ برای اینکه بفهمد باید سراغ چه جدول‌هایی برود، سری به آرشیو وبسایت Wayback Machine زد و با بررسی اسنپ‌شات‌های سال ۲۰۲۳ از صفحات تایتان، یک فایل پیکربندی قدیمی آپاچی سوپِرست (Apache Superset) را پیدا کرد که تعریف ۵۶ جدول پایگاه‌داده را در خود داشت.

اما رخنه اساسی‌تر در شیوه خواندن توکن‌های ورود نهفته بود. همان‌طور که Faav توضیح می‌دهد، سیستم تایتان محتوای توکن JWT (توکن وب جیسون) شامل شناسه مستأجر، مخاطب، شناسه برنامه و کاربر را اعتبارسنجی می‌کرد، اما هرگز امضای رمزنگاری‌شده‌ای را که ثابت می‌کرد توکن واقعاً معتبر و دست‌نخورده است چک نمی‌کرد! او این وضعیت را به هتلی تشبیه می‌کند که درهای اتاق‌هایش کارت‌خوان‌های سالمی دارند، اما هر کارت پلاستیکی خامی می‌تواند قفل همه اتاق‌ها را باز کند؛ عملاً یک سیستم امنیتی کاملاً بی‌فایده و توخالی.

او یک توکن بدون امضا فرستاد و بعد از ده روز تلاش ناموفق برای ورود، بالاخره دست از وارد کردن ایمیل واقعی در فیلد «upn» کشید و به جای آن عبارت ساده «admin» را وارد کرد. سیستم تایتان هم در کمال ناباوری این عبارت را به شناسه کاربر محلی ۱ (که نقش مدیر کل را داشت) ترجمه کرد و کوئری ارسالی او را بدون معطلی اجرا کرد!

ماجرا زمانی جذاب‌تر می‌شود که پای هوش مصنوعی به میان می‌آید: این نوجوان برای شکار آسیب‌پذیری‌ها از بات اختصاصی خود به نام Antares کمک می‌گیرد؛ رباتی که می‌گوید با تکیه بر مدل‌های Codex از اوپن‌ای‌آی (OpenAI) و Claude از شرکت آنتروپیک (Anthropic) توسعه داده است. بات آنتارس کار‌های سنگین و طاقت‌فرسا را انجام داد؛ از شناسایی زیردامنه‌ها و ترسیم سطح حمله گرفته تا فرستادن توکن جعلی از میان چهار لایه اعتبارسنجی، آن هم با تحلیل قدم‌به‌قدم پیام‌های خطا.

با این حال، این ایجنت هوش مصنوعی وقتی می‌خواست فیلد UPN را پر کند گیر کرد؛ چون مدام سعی می‌کرد ایمیل‌های احتمالی را به شیوه بروت‌فورس آزمایش کند. در نهایت این خلاقیت و دخالت مستقیم خود هکر بود که به جای آدرس ایمیل، عبارت ساده «admin» را امتحان کرد و توانست قفل نهایی سیستم را بشکند.

دسترسی ادمین پایگاه‌داده متاداده‌های پلتفرم تایتان را پیش روی او باز کرد؛ پایگاهی که طبق محاسبات او حاوی اطلاعات حدود ۲۵ هزار رکورد حساب و ایمیل، نزدیک به ۱۸ هزار ایمیل کارمندان مایکروسافت، ۱۵ هزار رکورد سازمانی و ده‌ها هزار داشبورد، نمودار و تعاریف مجموعه‌داده بود.

روند افشای این باگ بسیار سریع پیش رفت: او در ۵ سپتامبر ۲۰۲۶ این آسیب‌پذیری را با شماره پرونده ۱۴۴۰۵۱ گزارش کرد. مایکروسافت از ۶ تا ۸ سپتامبر از او خواست آزمایش‌ها را متوقف کند و آدرس IP خود را به اشتراک بگذارد، در ۹ سپتامبر اندپوینت مربوطه را مسدود کرد و در ۱۷ سپتامبر پاداش او را به حسابش واریز نمود.

البته در این میان یک نکته جالب و بحث‌برانگیز هم وجود دارد: Faav فاش کرده که مایکروسافت کنترل کاملی روی متن گزارش او داشته و قبل از انتشار، بخش‌هایی از متن و ارقام را حذف کرده و نحوه توصیف ابعاد ماجرا را تغییر داده است؛ یعنی معتبرترین گزارش موجود از این آسیب‌پذیری، پیش از انتشار توسط خود مایکروسافت ویرایش و تلطیف شده تا از شدت شرمساری شرکت کم شود! با این همه، هیچ‌کدام از این موارد از اهمیت باگ کم نمی‌کند: بررسی نشدن یک امضای ساده دیجیتال که تمام سدهای امنیتی تایتان را بی‌اثر کرده بود، یک کابوس امنیتی بالقوه به شمار می‌رفت که خوشبختانه توسط این نوجوان بااستعداد مهار شد؛ نوجوانی که پیش از این هم سابقه کشف آسیب‌پذیری‌های مشابه در آمازون، گوگل، ادوبی و خود مایکروسافت را در کارنامه درخشان خود دارد.