Blog 24/7
ARK. 1 · 1 min czytaniaPodatności ·

Usługa analityczna nie sprawdzała podpisu tokenów, dostęp do 17,3 bln wierszy danych

Szesnastoletni badacz ujawnił, że wewnętrzna usługa analityczna dużej firmy technologicznej przyjmowała tokeny logowania bez sprawdzania podpisu. Pozwalało to wykonywać zapytania SQL na 17 bazach danych.

Karta wpisu: Usługa analityczna nie sprawdzała podpisu tokenów, dostęp do 17,3 bln wierszy danych

Szesnastoletni badacz opisał wewnętrzną usługę analityczną dużej firmy technologicznej, która nie sprawdzała podpisu tokenów logowania. Materiał nie podaje, czy lukę już usunięto.

Badacz podszył się pod administratora usługi i mógł wykonywać zapytania SQL na 17 podłączonych bazach. Według szacunków było w nich około 17,3 bln wierszy, w tym dane pracowników i statystyki wyszukiwania. Interfejs WWW był dostępny tylko przez firmową sieć VPN, ale osobny, publicznie opisany interfejs API przyjmował surowe zapytania SQL. Usługę wskazało narzędzie do automatycznego szukania błędów, które badacz zbudował sam. Przez dziesięć dni sprawdzało ono kolejne zabezpieczenia logowania, a ostatni krok wykonał człowiek. Usługa przyjmowała zmienione dane w tokenie, choć podpis pozostawał ten sam.

Kogo dotyczy

Według materiału sprawa dotyczy jednej wewnętrznej usługi tej firmy oraz przechowywanych w niej danych pracowników i statystyk wyszukiwania. Materiał nie wskazuje, by luka dotyczyła klientów firmy ani ich systemów.

TAB. 2

Źródła

1
Help Net Security — 16-year-old researcher breaks into Microsoft analytics service with access to 17 trillion rows of datahelpnetsecurity.com
TAB. 3

Powiązane

3
05.11.2026PodatnościSkaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Out
05.11.2026PodatnościOpenSSH łata krytyczne obejście hasła na Linuksie z musl libc bez PAM
05.11.2026PodatnościAplikacja bez kodu i uprawnień wprowadza telefon w pętlę restartów, poprawki nie będzie

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com