Una vulnerabilidad crítica de inyección SQL no autenticada en Front Gate Tickets (FGT), una filial de Live Nation/Ticketmaster que gestiona la venta de entradas para los principales festivales de EE. UU., incluidos EDC, Bonnaroo y Outside Lands, permitió el control administrativo total de la plataforma con la ayuda del modelo de IA Claude de Anthropic.

El investigador Ian Carroll notó que casi todos los festivales importantes de EE. UU. canalizaban la venta de entradas a través de un pequeño grupo de dominios antiguos de FGT. Mientras analizaba la API fgtapi.frontgatetickets.com con la herramienta ffuf, descubrió que cualquier ruta de endpoint que contuviera la palabra “device” provocaba un error distinto que requería un parámetro deviceUID, exponiendo un middleware no autenticado vinculado al hardware de los escáneres y taquillas del recinto.

Las pruebas revelaron que un valor de deviceUID de 12345 funcionaba, pero añadir una comilla simple hacía que la solicitud se quedara colgada, lo que indicaba que el parámetro se concatenaba directamente en una consulta SQL sin sanitización.

Evadiendo el WAF con Claude

Aunque el endpoint estaba protegido por un Firewall de Aplicaciones Web (WAF) de AWS, las herramientas convencionales como sqlmap no lograron avanzar. El investigador entonces delegó el problema a Claude Code ejecutando el modelo Opus, el cual descubrió que el WAF solo inspeccionaba la capa exterior de la entrada, lo que significaba que las cargas útiles de inyección anidadas dentro de una subconsulta derivada pasaban desapercibidas.

Dado que el endpoint no devolvía ninguna salida de consulta directa, Claude diseñó una inyección SQL ciega basada en booleanos utilizando una peculiaridad de MySQL donde una cadena como 'x' añadida a un número se convierte en cero.

Al crear cargas útiles como deviceUID = x'+(SELECT CASE WHEN <COND> THEN 1 ELSE 0 END)-- -, la respuesta alternaba entre dos nombres de dispositivos reales (“MC70-023” para verdadero, “Intellitix Upload” para falso), creando un oráculo fiable para extraer datos bit a bit.

La base de datos fgs subyacente contenía más de 500 tablas, incluidas credenciales del personal, registros de clientes y tokens de autenticación activos.

Al leer una entrada activa de la tabla RESET_TOKEN después de activar un restablecimiento de contraseña, el investigador secuestró una cuenta de administrador sin conocer jamás su contraseña, obteniendo acceso total de escritura a todos los festivales de la plataforma, incluidos los sistemas de inventario, precios y pago.

Con acceso de administrador, un atacante podría emitir entradas gratuitas (“comp”) ilimitadas para cualquier festival, buscar en las bases de datos de pedidos de clientes a voluntad (una búsqueda de prueba para “chris” devolvió miles de registros) y leer o canjear tokens de restablecimiento de contraseña para secuestrar cuentas de personal y clientes en toda la plataforma.

El investigador se detuvo antes de extraer datos masivos, afirmando que el punto estaba demostrado una vez que se logró el control administrativo a nivel de EDC y Bonnaroo mediante una única solicitud GET no autenticada.

Cabe destacar que Front Gate Tickets y Live Nation no tenían ningún contacto de seguridad publicado, lo que obligó al investigador a adivinar un correo electrónico de divulgación válido. Según se informa, el proveedor solucionó el fallo rápidamente e indicó que próximamente habrá un programa de recompensas por errores (bug bounty).

Este caso subraya una tendencia creciente en la investigación de vulnerabilidades asistida por IA, donde modelos de lenguaje extensos como Claude pueden realizar ingeniería inversa de la lógica del WAF de forma autónoma y construir exploits de inyección ciega en múltiples etapas con una guía humana mínima; un patrón también visto en la propia divulgación de Anthropic sobre ataques orquestados por IA y pruebas independientes que muestran agentes de IA explotando fallos de inyección SQL sin instrucciones explícitas de hacking.

La infraestructura de venta de entradas heredada, que gestiona tanto las ventas al consumidor como las operaciones físicas de taquilla, sigue siendo un objetivo atractivo debido a la escala de los datos personales y financieros implicados.