In questo articolo Indice dei contenuti 2 sezioni
Un database Microsoft con 17 trilioni di righe complessive e 25.000 account di dipendenti è finito sotto gli occhi di un adolescente, che ci è arrivato mettendo insieme tempo libero, ottime competenze informatiche e un bot di intelligenza artificiale costruito da solo. Il ragazzo si fa chiamare Faav e il bersaglio della sua esplorazione è stato Titan, la piattaforma di analisi che a Redmond avrebbe dovuto restare a uso interno. Il punto debole si è rivelato il sistema di convalida degli utenti, decisamente meno solido di quanto ci si aspetterebbe da un colosso del genere.
Stando al suo racconto, Faav ha trascorso l’anno a cercare falle nei prodotti Microsoft a fasi alterne, incastrando le sessioni tra un impegno scolastico e l’altro. Nel mirino non c’era soltanto l’azienda fondata da Bill Gates ma anche Amazon, Google, Adobe e altre realtà. Come molti hacker ha una sua cassetta degli attrezzi personale e, com’era prevedibile di questi tempi, lo strumento principe è Antares, un orchestratore basato sull’AI che il giovane ha creato apposta per scansionare sistemi e automatizzare la parte più noiosa e ripetitiva del lavoro sulla sicurezza.
Dall’avviso sulla VPN alla porta lasciata aperta
Tutto parte da un dettaglio in apparenza banale. Antares individua all’interno di Titan un endpoint che restituisce un messaggio di errore, secondo cui per proseguire serve una VPN. Tanto basta per accendere la curiosità di Faav, che chiede al suo bot di andare a caccia di sottodomini attorno a quell’indirizzo. Salta fuori così un host appartenente ad Azure Cloud, accompagnato da un file Swagger/OpenAPI che elenca quattro percorsi. Per chi non mastica il gergo, Swagger è uno standard del settore che descrive in un formato leggibile dalle macchine il funzionamento di un’API, così da semplificare l’integrazione con servizi di terze parti.
Tre di quei percorsi richiedevano l’autenticazione tramite Azure Active Directory. Il quarto invece no, e portava un nome piuttosto invitante come /v2/Query. Come se non bastasse accettava query SQL grezze, una scelta che lascia parecchio perplessi. A quel punto mancava però un elemento fondamentale, cioè sapere cosa interrogare. Qui entra in gioco un uso furbo della Wayback Machine, grazie alla quale Faav ha recuperato una versione del 2023 della pagina di accesso. Dentro c’era anche un comodo file di configurazione di Apache Superset con la descrizione dello schema del database e ben 56 definizioni di tabelle.
Il token JWT che nessuno verificava
Restava un ultimo ostacolo. L’endpoint respingeva le richieste per l’assenza di un’autenticazione JWT, acronimo di JSON Web Token. Faav ha rimesso al lavoro Antares per 10 giorni, senza però ottenere risultati. La svolta è arrivata grazie a un’intuizione tutta umana, perché osservando il modo in cui il server rispondeva il ragazzo ha capito che la firma digitale del token non veniva affatto controllata. Gli è bastato quindi spacciare il proprio token di accesso per quello di un amministratore ed è entrato senza problemi.
Un semplice comando SHOW DATABASES dopo, davanti ai suoi occhi c’erano 25.000 record relativi ai dipendenti insieme a dati sulle organizzazioni, dashboard e grafici. Continuando a esplorare, Faav si è imbattuto in una fonte dati dedicata alle statistiche di Bing. Sommando le righe presenti nelle varie tabelle ha scoperto di avere accesso a 17 trilioni di record in totale. Una cifra talmente enorme da costringerlo a ricontrollarla più volte e a trattenersi dall’urlare per non svegliare i genitori alle 2 di notte.
La falla è stata poi segnalata al programma di bug bounty di Microsoft, che ha ricompensato la scoperta con EUR 4.394, circa 4.300 euro. Nel post pubblicato sul suo blog, il giovane sottolinea come l’intelligenza artificiale e l’intuito umano si siano sommati a vicenda. Antares si è sobbarcato dieci giorni di lavoro che lui non ha dovuto svolgere e, secondo Faav, proprio la costanza del bot unita a un’unica intuizione personale ha reso possibile la scoperta.
Fonte: TecnoAndroid
