Une faille d’authentification dans un service interne de Microsoft permettait de se faire passer pour un administrateur du service et d’interroger plusieurs bases analytiques. Leur contenu représentait plus de 17 000 milliards de lignes selon le chercheur qui a découvert le problème.
Une signature oubliée, un nom d’utilisateur particulièrement prévisible et, derrière, un accès à une infrastructure de données gigantesque. Le chercheur en sécurité Faav raconte avoir découvert une vulnérabilité dans Titan, un service d’analyse interne de Microsoft relié à plusieurs bases de données du groupe. En fabriquant un faux jeton d’authentification, il est parvenu à obtenir les droits d’un administrateur, puis à interroger les bases connectées au service, dont certaines contenaient des données liées à Bing. D’après ses calculs, l’ensemble représentait plus de 17 000 milliards de lignes potentiellement accessibles.
Le système d’authentification contrôlait les jetons sans vérifier leur signature
La découverte remonte à fin août, lorsqu’un outil automatisé développé par Faav repère Titan, une plateforme interne de Microsoft. Son interface web exige une connexion au VPN de l’entreprise, mais son API reste accessible depuis Internet. Sa documentation publique décrit plusieurs fonctions, parmi lesquelles une route capable d’envoyer directement des requêtes SQL à certaines bases de données.
Pour utiliser cette API, il faut notamment présenter un jeton JWT chargé de prouver son identité. Celui-ci transporte plusieurs informations sur la personne qui se connecte, l’organisation Microsoft à laquelle son compte est rattaché ou encore l’application autorisée à effectuer la requête. Mais ces informations n’ont de valeur que si le serveur vérifie aussi la signature cryptographique du jeton, qui atteste qu’il a bien été émis par une autorité légitime et que son contenu n’a pas été altéré.
Titan vérifiait bien plusieurs informations inscrites dans le JWT, mais pas cette signature. Faav a donc pu fabriquer son propre jeton, choisir lui-même les valeurs qu’il contenait et le présenter au service comme un jeton légitime.
Cette liberté lui a permis de choisir le nom d’utilisateur sous lequel Titan allait tenter de le reconnaître. Après plusieurs essais infructueux, Faav a fini par essayer admin, valeur qui correspondait à un compte administrateur local du service. Titan lui a alors accordé les mêmes privilèges, sans qu’il possède les identifiants correspondants. Le chercheur a ainsi obtenu l’accès aux bases de données reliées à la plateforme et a pu commencer à examiner ce qu’elles contenaient.
Données internes, recherches Bing… plus de 17 000 milliards de lignes potentiellement accessibles
Les premières bases consultées ont révélé des données liées au fonctionnement de Titan. Faav y a trouvé quelque 25 000 comptes et adresses mail, près de 18 000 adresses professionnelles et environ 15 000 entrées décrivant l’organisation interne d’employés utilisant le service. Y étaient répertoriés des centaines de configurations de bases, des dizaines de milliers de jeux de données et plusieurs centaines de milliers de graphiques.
En poursuivant son exploration, le chercheur a recensé 17 bases analytiques reliées à Titan, pour un total de plus de 17 000 milliards de lignes. Parmi ces bases figurait une source contenant des données issues de Bing, dont les quelques enregistrements que Faav a pu consulter associaient des recherches effectuées sur le moteur à des liens cliqués, à un identifiant Microsoft et à une localisation approximative déduite de l’adresse IP.
Le chercheur assure ne pas avoir cherché à identifier les utilisateurs et utilisatrices concernés ni à croiser ces informations entre elles, mais précise que les mêmes types d’identifiants apparaissaient dans plusieurs jeux de données, ce qui aurait pu permettre de rapprocher différentes activités attribuées à une même personne.
Les 17 000 milliards de lignes avancés par Faav ne correspondent toutefois ni à autant de personnes ni à autant d’informations uniques. Ce total, calculé à partir des métadonnées des différentes bases, comprend vraisemblablement des données historiques, dupliquées ou dérivées. Il mesure donc le volume de l’environnement auquel la faille donnait potentiellement accès, et non la quantité de données effectivement consultées ou récupérées par le chercheur.
Faav a signalé la vulnérabilité au Microsoft Security Response Center le 5 septembre dernier. Microsoft lui a alors demandé d’interrompre ses tests dans les jours suivants, puis a verrouillé l’API concernée le 9 septembre. Le chercheur a reçu une récompense de 5 000 dollars dans le cadre du programme de bug bounty de l’entreprise, qui confirme que son signalement a déclenché une enquête et conduit au renforcement du service.
