Actualités Mardi 29 septembre · Au creux de l’après-midi · ≈ 2 min de lecture

17 000 milliards de lignes chez Microsoft, gardées par un jeton que personne ne vérifiait

Un chercheur de 16 ans a forgé un jeton, choisi « admin » et obtenu l'accès aux bases de Titan, un service interne de Microsoft. Corrigé, et payé 5 000 $.

Pas de mot de passe volé, pas de faille exotique. Un jeton d’authentification dont personne ne contrôlait la signature, et un nom d’utilisateur que tout le monde essaie en premier : « admin ».

La faille

Le chercheur Faav, 16 ans, raconte sur son blog comment il est tombé sur Titan, un service d’analyse interne de Microsoft. L’interface web exige le VPN de l’entreprise, mais l’API répond depuis Internet, et sa documentation publique décrit une route qui envoie des requêtes SQL aux bases reliées.

Pour s’en servir, il faut présenter un jeton JWT, qui indique qui se connecte et pour quelle organisation. Ces informations ne valent rien si le serveur ne vérifie pas la signature du jeton, la preuve qu’il a été émis par une autorité légitime et n’a pas été modifié. Titan lisait le contenu, pas la signature. Faav a donc fabriqué son propre jeton, et le nom « admin » correspondait à un compte administrateur du service.

Ce qu’il y avait derrière

Selon son estimation, 17 bases ClickHouse totalisant environ 17 300 milliards de lignes, dont une source de Bing : une recherche, le lien cliqué, un identifiant Microsoft et une localisation approximative tirée de l’adresse IP. Clubic relève aussi près de 25 000 comptes et adresses e-mail liés au service. Faav affirme s’être limité aux descriptions de tables, aux métadonnées et à quelques lignes d’exemple, sans toucher aux données de clients.

Deux précisions changent la lecture. Le chiffre mesure ce qui était accessible, pas ce qui a été consulté, et compte sans doute des données dupliquées ou historiques. Surtout, Faav écrit lui-même que Microsoft a eu un contrôle éditorial sur son billet, en coupant des sections et des chiffres et en remodelant la description de l’impact. Le récit public est donc celui qu’a validé l’entreprise concernée.

Chronologie

5 septembre : signalement au Microsoft Security Response Center.
9 septembre : l’API est verrouillée.
Prime de 5 000 $ dans le cadre du programme de bug bounty de Microsoft.

En bref

Titan, service interne de Microsoft, ne vérifiait pas la signature des jetons JWT.
Le nom « admin » donnait les droits d’administrateur.
Environ 17 300 milliards de lignes accessibles, dont des données Bing.
Billet du chercheur relu et coupé par Microsoft.

Sources : blog de Faav, Clubic.

Le Bien Heureux · Rédaction Capibara · Mardi 29 septembre 2026