Un investigador de seguridad de 16 años, conocido como Faav, descubrió un fallo de autenticación en el servicio interno de análisis Titan de Microsoft. Esta vulnerabilidad permitía el acceso falsificado de administrador y la ejecución de consultas SQL no autorizadas sin necesidad de credenciales, lo que potencialmente exponía unos 17,3 billones de filas de bases de datos. No obstante, el investigador aclaró que el impacto real fue hipotético, basándose principalmente en metadatos y descripciones de tablas.

Un investigador de seguridad de 16 años conocido como Faav descubrió un fallo de autenticación en el servicio interno de análisis Titan de Microsoft que potencialmente expuso un estimado de 17,3 billones de filas de base de datos.

La vulnerabilidad permitía el acceso falsificado de administrador y consultas SQL no autorizadas sin necesidad de credenciales de Microsoft. Sin embargo, Faav enfatizó que el impacto potencial era hipotético.

El investigador se basó en metadatos, descripciones de tablas y muestras limitadas, sin acceder nunca a información de identificación personal (PII) de los clientes, y no encontró pruebas de que actores maliciosos hubieran explotado esta debilidad.

La investigación comenzó el 25 de agosto de 2026, cuando Antares, el asistente de hacking impulsado por IA de Faav, descubrió Titan. Aunque la interfaz web mostraba una página de "VPN REQUIRED", Antares identificó una API pública alojada a través de Azure Cloud Services.

Un documento Swagger expuesto enumeraba cuatro rutas, incluida /v2/Query, que aceptaba SQL puro. Páginas archivadas de Titan de 2023 también revelaron 56 definiciones de tablas y un valor de enrutamiento llamado TestData, lo que le dio al investigador suficiente información para comenzar pruebas controladas.

Las solicitudes sin un encabezado de autorización devolvieron correctamente el error HTTP 401. Sin embargo, durante los siguientes diez días, Antares alteró las notificaciones (claims) del JSON Web Token y estudió los mensajes de error de Titan.

Vulnerabilidad de Titan Analytics de Microsoft

El servicio verificaba el ID del inquilino, la audiencia, el ID de la aplicación y la identidad del usuario, pero continuaba procesando las notificaciones modificadas mientras la firma original permanecía sin cambios. Ese comportamiento indicaba un fallo: Titan examinaba lo que el JWT afirmaba sin confirmar criptográficamente quién lo había emitido.

Faav creó entonces un token sintético con su algoritmo configurado en "none" (ninguno) y una firma vacía. Titan lo aceptó. La carga útil necesitaba un usuario reconocido, y los intentos automatizados utilizando nombres principales de usuario (UPN) con formato de correo electrónico fallaron.

El avance llegó después de que Faav reconsiderara cómo el backend podría interpretar el campo upn y lo reemplazara por "admin". Titan mapeó el valor al ID de usuario local 1, asignó el rol de Administrador y ejecutó con éxito una consulta SELECT 1.

Una exploración limitada expuso la base de datos de metadatos de la plataforma Titan y otros entornos de análisis conectados. Según se informa, los metadatos accesibles incluían aproximadamente 25.000 registros de cuentas y correos electrónicos, 17.990 entradas de correos electrónicos de empleados, 15.001 registros de organización de empleados, 355 configuraciones de bases de datos, 20.979 definiciones SQL de conjuntos de datos virtuales, 24.569 paneles, 425.891 gráficos y 27.347 definiciones de conjuntos de datos.

Dos consultas restringidas de una sola fila confirmaron además que los análisis de búsqueda de Bing eran accesibles. Faav dijo que no se identificó a ninguna persona y que no se vincularon registros entre los conjuntos de datos.

Para estimar la exposición, el investigador probó los 56 valores de enrutamiento archivados usando SELECT 1; 30 permanecían activos. Esas rutas se resolvieron a través de 24 configuraciones hacia 17 bases de datos de análisis ClickHouse que cubrían 9.863 nombres de tablas únicos. Los totales de filas se calcularon mediante system.tables.total_rows y system.parts activos, produciendo la estimación: 17.333.335.124.315 filas.

Faav advirtió que esta cifra de almacenamiento probablemente incluía registros históricos, duplicados y derivados, lo que significa que no debe interpretarse como 17,3 billones de personas únicas o registros de clientes expuestos.

Faav informó de la vulnerabilidad al Centro de Respuesta de Seguridad de Microsoft el 5 de septiembre, abriendo el caso 144051. Microsoft bloqueó el punto final de la API el 9 de septiembre, otorgó al investigador una recompensa de 5.000 dólares el 17 de septiembre y coordinó la publicación. La empresa agradeció a Faav por la divulgación responsable y dijo que el informe le ayudó a reforzar sus servicios y proteger mejor a sus clientes.

El hallazgo demuestra por qué la validación de notificaciones por sí sola no puede asegurar la autenticación basada en JWT. Las aplicaciones deben verificar criptográficamente cada firma de token, rechazar tokens no firmados, restringir los algoritmos aprobados, validar los valores del emisor y la audiencia, y evitar mapear notificaciones controladas por el atacante directamente a cuentas locales privilegiadas.

En el caso de Titan, la falta de una verificación de firma neutralizó varias capas de control de acceso que, de otro modo, funcionarían, y convirtió un punto final de análisis público en una puerta de enlace potencial a un entorno de datos enorme de Microsoft.

Fuentes:
https://cybersecuritynews.com/microsoft-auth-vulnerability-expose-records/