Remaja 16 Tahun Temukan Bug Akses 17 T Record Microsoft
Judul asli: I Could've Accessed 17T Microsoft Records
Mengapa Ini Penting
Celah JWT tanpa verifikasi signature di layanan internal skala enterprise memperlihatkan risiko nyata pada desain autentikasi API.
Peneliti berusia 16 tahun menemukan celah pada layanan analitik internal Microsoft yang berpotensi mengekspos 17,3 triliun baris data tanpa autentikasi valid.
Seorang peneliti keamanan berusia 16 tahun bernama Faav menemukan celah kritis pada layanan internal Microsoft bernama Titan — sebuah platform analitik yang dapat diakses via API publik meski frontend-nya terkunci di balik VPN karyawan.
Celah utamanya sederhana namun fatal: endpoint `/v2/Query` yang menerima raw SQL tidak memverifikasi tanda tangan token JWT dengan benar. Dengan memanipulasi token dari tenant Entra miliknya sendiri — mengubah nilai tenant, audience, dan application ID secara bertahap — Faav berhasil mengklaim identitas administrator dan mengirim kueri SQL tanpa kredensial sah.
Melalui AI hackbot buatannya sendiri bernama Antares, proses eksploitasi berlangsung selama sepuluh hari. Data Swagger publik Titan mencantumkan empat endpoint; hanya `/v2/Query` yang tidak mensyaratkan autentikasi Azure AD. Dari arsip Wayback Machine tahun 2023, Faav menemukan 56 definisi tabel termasuk nilai routing `TestData`.
Potensi dampaknya: 17,3 triliun baris data dari berbagai dataset Microsoft dapat diakses. Faav menegaskan ia hanya menggunakan metadata dan sampel baris terbatas — tidak ada data pelanggan atau PII yang disentuh.
Microsoft merespons: "Submission dan coordinated vulnerability disclosure mereka membantu kami memperkuat layanan kami." Temuan ini dilaporkan melalui Microsoft Bug Bounty Program. Faav juga mengungkap bahwa Microsoft memiliki kendali editorial atas tulisan ini, termasuk memotong beberapa bagian dan angka sebelum publikasi.