Un jeune chercheur en sécurité, connu sous le nom de Faav, affirme avoir découvert une faille dans la plateforme d’analytique interne Titan de Microsoft, qui lui aurait permis d’accéder potentiellement à une base de données contenant 17 milliards de lignes ainsi qu’à des informations liées à environ 25 000 comptes utilisateurs. Selon le récit publié par le propre chercheur, cette vulnérabilité était liée à une validation insuffisante des utilisateurs et des tokens JWT. La découverte lui a valu une récompense de 5 000 dollars dans le cadre du programme de récompenses de Microsoft.

Les faits clés sur la faille de Microsoft Titan en 30 secondes

• Faav, un chercheur adolescent, affirme avoir identifié une faille dans la plateforme interne Titan de Microsoft.
• Ce système donnait un accès potentiel à une base de données comptant environ 17 milliards de lignes et des données relatives à 25 000 utilisateurs.
• Le problème évoqué concerne une validation insuffisante de l’identité et des tokens JWT.
• Le chercheur a utilisé un bot d’IA nommé Antares pour automatiser une partie du processus d’analyse de sécurité.
• Microsoft aurait reconnu la découverte en lui accordant une récompense de 5 000 dollars.

Ce cas remet en lumière une problématique récurrente dans les systèmes d’entreprise : une authentification correcte ne s’achève pas simplement lorsque l’utilisateur présente un token valide. Il est également essentiel de vérifier que ce token correspond bien à l’utilisateur, au service et aux permissions qu’il souhaite utiliser.

Le récit provient du propre chercheur, qui explique dans une publication technique comment il a analysé Titan et comment il a fini par découvrir une voie d’accès, selon sa description, permettant d’accéder à une quantité d’informations largement supérieure à ce qui devrait être accessible à un utilisateur standard.

Un an à rechercher des failles tout en poursuivant ses études

Faav raconte qu’il mène des investigations sur des produits de grandes entreprises depuis environ un an, tout en conciliant ces activités avec ses études. Parmi les entreprises qu’il cite figurent Microsoft, Amazon, Google et Adobe.

Son travail s’inscrit dans le cadre de programmes de récompenses pour la détection de vulnérabilités, appelés bug bounty. Dans ces programmes, les entreprises offrent des récompenses financières aux chercheurs qui découvrent et signalent de manière responsable des problèmes de sécurité dans leurs produits ou infrastructures.

Dans le cas de Microsoft, le chercheur a analysé Titan, une plateforme d’analytique qui, selon ses dires, n’était pas destinée à un accès public.

L’envergure du système a été l’un des aspects les plus frappants de cette découverte. La base de données associée contenait, selon Faav, environ 17 milliards de lignes.

Cette estimation ne signifie pas que le chercheur a téléchargé les 17 milliards d’enregistrements. Le texte disponible évoque un accès potentiel à l’infrastructure et à l’exposition d’informations, mais pas une extraction complète de cette quantité de données.

On y trouve aussi environ 25 000 comptes utilisateurs, qui étaient, selon le récit, liés à des informations sur des employés.

Cette distinction est importante, car le volume total d’une base de données et ce que peut réellement consulter un attaquant ne sont pas nécessairement identiques.

Le problème résidait dans la validation des utilisateurs

Le chercheur attribue cette vulnérabilité à une combinaison de problèmes liés à l’authentification et à l’autorisation.

L’un des points soulevés concerne la validation des tokens JWT, acronyme de JSON Web Token. Ces tokens sont couramment utilisés pour prouver l’identité et les permissions d’une session ou d’une application lorsque différents services doivent communiquer entre eux.

Un JWT correctement validé doit vérifier, entre autres éléments, qu’il provient d’une source fiable, qu’il n’a pas été manipulé, qu’il correspond au contexte approprié et qu’il contient les conditions nécessaires pour accéder à la ressource demandée.

Selon Faav, Titan ne réalisait pas correctement certaines de ces vérifications. Cela aurait permis d’utiliser des informations d’authentification de manière imprévue par le système.

L’article original qualifie cette validation de utilisateur de « sous-optimale », néanmoins, les détails techniques complets doivent être compris dans le cadre de l’étude publiée par le chercheur lui-même.

Cette faiblesse aurait eu des conséquences particulièrement importantes, étant donné que le système était connecté à une infrastructure de données de grande envergure.

Plutôt que de limiter l’accès uniquement à l’ensemble d’informations correspondant à une identité spécifique, la faille permettait, selon le chercheur, d’élargir considérablement la portée des requêtes.

Antares, le bot d’IA qui a automatisé une partie de la recherche

Un autre aspect clé de cette affaire concerne l’outil utilisé lors de l’investigation.

Faav a développé Antares, un bot basé sur l’intelligence artificielle, conçu pour automatiser une partie des tâches de sécurité et d’analyse.

Ce n’était pas une tentative de remplacer totalement le chercheur, mais plutôt d’automatiser des tâches répétitives liées à la recherche de vulnérabilités. En sécurité informatique, ce type d’outil peut aider à examiner les points d’accès, analyser les réponses, tester différents scénarios et organiser les résultats.

L’investigateur décrit lui-même Antares comme une sorte d’outil pour prendre en charge le travail de sécurité plus monotone.

L’utilisation de l’IA ne signifie pas que la découverte a été automatique. Le récit précise que Faav a été à la fois celui qui a recherché et construit les outils durant le processus.

Cette combinaison illustre une tendance de plus en plus présente dans la recherche en sécurité : des chercheurs individuels peuvent créer des agents spécialisés, capables de réaliser des vérifications en continu et à une échelle qui nécessiterait auparavant beaucoup de travail manuel.

Une récompense de 5 000 dollars

La découverte a été intégrée au programme de récompenses de Microsoft, qui lui a versé 5 000 dollars, selon les informations disponibles.

Les programmes de bug bounty permettent à des chercheurs externes de signaler des vulnérabilités aux entreprises avant qu’elles ne soient exploitées de façon malveillante ou publique.

Dans ces cas, la valeur d’un découvert ne se limite pas au nombre de registres potentiellement exposés. Elle dépend également du type d’accès obtenu, de la facilité de reproduction de la faille, des permissions concernées et de l’impact potentiel sur l’infrastructure.

En l’occurrence, la donnée la plus frappante concerne le volume de données accessible via la faille, mais rien n’indique que les 17 milliards d’enregistrements aient été tous téléchargés ou que les 25 000 comptes aient été exploités de manière abusive.

L’information fournie ne précise pas non plus quelles modifications Microsoft a apportées après avoir été informée, ni combien de temps le problème est resté exposé.

Il convient donc de comprendre cette affaire comme un rapport de vulnérabilité soumis dans le cadre d’un programme de récompenses, et non comme une preuve que toute la base de données aurait été illicitement clonée.

Ce cas montre également l’évolution du profil de certaines recherches en sécurité : un étudiant doté de compétences techniques, ayant accès à des programmes de récompenses et à des outils automatisés basés sur l’IA, peut analyser des systèmes d’entreprise complexes sans faire partie d’une grande équipe de sécurité.

Cependant, la partie la plus essentielle demeure la même : garantir une séparation rigoureuse des responsabilités une fois l’authentification validée.

Un token valable ne devrait pas automatiquement donner accès à tout ce qui se trouve derrière. Quand la vérification de l’identité, des permissions et de l’étendue échoue, une faille apparemment mineure peut avoir des conséquences bien plus graves que prévu dans la conception initiale.

Questions fréquentes

Que découvre Faav chez Microsoft ?

Selon ses propres dires, il a identifié un problème dans la plateforme d’analytique interne Titan qui permettait d’accéder à beaucoup plus d’informations que prévu, notamment une infrastructure comptant environ 17 milliards de lignes.

Quel lien avec les tokens JWT ?

Il souligne des problèmes dans la validation des tokens et de l’identification. Selon lui, ces validations insuffisantes permettaient d’étendre l’accès dans le système.

Qu’est-ce qu’Antares ?

Antares est un bot d’intelligence artificielle conçu par Faav pour automatiser une partie des tâches répétitives en sécurité et détection de vulnérabilités.

Combien Microsoft a-t-elle payé pour cette découverte ?

Selon les informations, Microsoft a versé une récompense de 5 000 dollars dans le cadre de son programme de bug bounty pour cette faille.

Sources :

• Faav, investigation sur l’accès potentiel à 17 milliards d’enregistrements chez Microsoft.