Família contrata profissional para cuidar do gato durante viagem e descobre pelas câmeras que as visitas de uma hora duravam dez minutos
O James Webb encontrou algo tão improvável que nos ajuda a compreender a Terra: um exoplaneta de lava "fria"
Todos os pais de planta devem saber: "Se as folhas das suas plantas têm pontas marrons e secas, não é problema de rega"
Garoto de 16 anos invade serviço interno da Microsoft com IA e usuário "admin", ganhando acesso a 17,3 trilhões de linhas de dados
Dez dias de testes, uma IA e um palpite: a chave foi testar "admin" onde nenhuma máquina havia tentado
Um pesquisador de 16 anos usou inteligência artificial e o usuário padrão "admin" para invadir o Titan, serviço interno de análise da Microsoft exposto na nuvem Azure. A falha deu acesso a 17,3 trilhões de linhas de dados e milhares de e-mails corporativos. O jovem alertou a empresa de forma responsável, que corrigiu o problema e pagou uma recompensa de US$ 5 mil pela descoberta da vulnerabilidade.
Sempre que você faz login em um serviço ou aplicativo, o que passa de um lado para o outro é um token que detalha quem somos e o que podemos fazer. Sua confiabilidade não está tanto no que ele diz, mas em sua assinatura digital, que garante que ele foi emitido por quem deveria e que ninguém o modificou. Há anos se sabe que esse procedimento pode ser significativamente aprimorado, mas, ainda assim, falhas podem acontecer — e uma delas acaba de expor a Microsoft.
Faav é um pesquisador de segurança e também um garoto de 16 anos. Utilizando um token manipulado e o usuário "admin" (um velho conhecido das configurações padrão), o jovem conseguiu executar consultas SQL como administrador do Titan, o serviço interno de análise da Microsoft.
Família contrata profissional para cuidar do gato durante viagem e descobre pelas câmeras que as visitas de uma hora duravam dez minutos
O James Webb encontrou algo tão improvável que nos ajuda a compreender a Terra: um exoplaneta de lava "fria"
Todos os pais de planta devem saber: "Se as folhas das suas plantas têm pontas marrons e secas, não é problema de rega"
Assim, ele teve acesso a metadados da plataforma, mais especificamente a cerca de 25 mil contas, 17.990 e-mails de funcionários e 24.569 dashboards. Além disso, constatou que o serviço se conectava a 17 bancos de dados de análise que, segundo sua estimativa, somam cerca de 17,3 trilhões de linhas. Ele informou o problema ao Microsoft Security Response Center naquele mesmo dia, 5 de setembro. A empresa encerrou o acesso no dia 9 e lhe pagou US$ 5 mil no dia 17, como relata em seu blog.
Como ele fez
Em 25 de agosto, Faav e sua ferramenta de IA chamada Antares conseguiram encontrar a API do Titan. Ao que parece, o site do serviço só era acessível pela equipe, mas a API estava exposta em um host do Azure. Durante dez dias, Antares testou variações de ...
Matérias relacionadas
A reputação da IA está em xeque. A solução da indústria: mudar o nome para "superinteligência"
Comentários
Os comentários são de responsabilidade exclusiva de seus autores e não representam a opinião deste site. Se achar algo que viole os termos de uso, denuncie.