16세 보안 연구자 Faav가 마이크로소프트의 내부 분석 서비스인 Titan에서 심각한 인증 취약점을 발견했습니다. 이 서비스는 로그인 토큰의 서명을 제대로 검증하지 않아, 공격자가 토큰 내용을 마음대로 바꿔 관리자 권한을 획득할 수 있었습니다. 그는 자신이 만든 자동화 도구 Antares의 도움으로 이 문제를 찾아냈고, 연결된 17개 데이터베이스에서 SQL 쿼리를 실행해 직원 정보 약 1만 8천 건과 Bing 검색 분석 데이터 일부에 접근할 수 있었습니다. 마이크로소프트는 신고를 받은 지 나흘 만에 해당 접점을 차단했고, 연구자에게 5,000달러의 포상금을 지급했습니다. 다행히 고객 데이터나 개인식별정보는 실제로 열람·악용되지 않았습니다.
마이크로소프트의 내부 분석 서비스 Titan에서 로그인 토큰의 서명 검증이 누락된 취약점이 발견되어, 공격자가 토큰을 조작해 관리자 권한으로 위장할 수 있었다.
직원 계정·이메일 정보 약 2만 5천 건, 직원 이메일 기록 약 1만 8천 건, 조직 정보 약 1만 5천 건과 Bing 검색 분석 데이터 일부에 접근이 가능했다.
Titan이 JWT(로그인 토큰) 서명을 검증하지 않고 토큰에 담긴 클레임(주장 값)만 신뢰했으며, 알고리즘을 'none'으로 설정한 서명 없는 토큰도 통과시켰다.
연구자가 9월 5일 마이크로소프트 보안대응센터(MSRC)에 신고했고, 마이크로소프트는 9월 9일 해당 API 접점을 차단했으며 9월 17일 5,000달러의 포상금을 지급했다.
내부용·비공개 API라도 인증 토큰의 서명 검증은 필수이며, 공개 문서화된 우회 경로(VPN 외 별도 API 엔드포인트)가 존재하지 않는지 주기적으로 점검해야 한다.
본문
Titan은 마이크로소프트 내부 분석 서비스로, 이 서비스의 결함으로 인해 공격자가 직원 기록과 Bing 검색 분석 데이터를 읽을 수 있었을 것이라고 16세 보안 연구자가 밝혔다.
Faav라는 이름으로 활동하는 이 연구자는 Titan이 로그인 토큰의 서명을 검증하지 않는다는 사실을 발견했다. 이를 통해 그는 서비스의 관리자로 위장해, 약 17.3조 행에 달하는 데이터를 보유한 연결된 17개 데이터베이스에 대해 SQL 쿼리를 실행할 수 있었다.
그는 직접 만든 자동화 버그 헌팅 도구 Antares의 도움을 받아 이 작업을 수행했다. 그의 기고문에 따르면 Antares가 Titan을 발견 대상으로 지목했고, 로그인 검증 과정을 열흘간 파고든 끝에 그가 마지막 단계를 직접 수행했다.
"Antares 혼자서는 여기까지 오지 못했을 것이고, 저 혼자서도 마찬가지였을 겁니다. Antares의 끈기와 사람의 직감이 더해져 이번 발견이 가능했습니다."
토큰 검증 우회 과정
Titan의 웹 인터페이스는 마이크로소프트 VPN을 통해서만 접근 가능했지만, Antares는 공개 문서화된 별도의 API 엔드포인트를 찾아냈다. 그 경로 중 하나인 /v2/Query는 원시 SQL(raw SQL)을 그대로 받아들였다.
인증 헤더가 없는 요청은 거부되었다. Faav가 수백 개의 다른 단서를 조사하는 동안에도 Antares는 계속 Titan으로 돌아왔다.
"외부 Entra 테스트 테넌트에서 발급받아 몇 달 전에 만들고 자주 테스트용으로 써온 토큰으로 시작했습니다. Titan은 테넌트 오류를 반환했습니다. 테넌트를 마이크로소프트 것으로 바꾸자 대상(audience) 오류가 났습니다. 대상을 바꾸자 애플리케이션 허용목록 오류가 났습니다. 애플리케이션 ID를 바꾸자 마침내 사용자 조회 단계에 도달했습니다,"라고 이 젊은 연구자는 설명했다.
"페이로드는 계속 바뀌는데 서명은 정확히 그대로였고, Titan은 새로운 클레임(claim)을 계속 받아들였습니다. 마치 경비원이 신분증의 이름은 매번 확인하면서 사진은 한 번도 보지 않는 것과 같았습니다. 이것이 서명을 검증하지 않는다는 첫 번째 큰 단서였습니다,"라고 그는 덧붙였다.
이후 Faav는 알고리즘을 "none"으로 설정하고 서명 부분을 비운 토큰을 보냈다. 이 토큰은 모든 검사를 통과해 사용자 조회 단계까지 도달했으나, "사용자를 찾을 수 없음" 오류가 반환되었다.
며칠 동안 Antares는 토큰의 upn 필드에 이메일 형식의 주소들을 대입해 시도했다. 9월 5일, Faav는 이 값을 "admin"으로 바꾸었다. Titan은 이 필드를 로컬 사용자명으로 처리해 사용자 ID 1과 일치시켰는데, 이 계정은 관리자(Admin) 역할을 가지고 있었다. 이를 통해 Faav는 관리자 권한을 얻어 해당 서비스에서 SQL 쿼리를 실행할 수 있었다.
직원 기록과 Bing 검색 데이터
Titan의 플랫폼 메타데이터 데이터베이스에는 약 2만 5천 건의 계정 및 이메일 항목, 1만 7,990건의 직원 이메일 기록, 1만 5,001건의 직원 조직 기록이 담겨 있었다고 Faav는 썼다. 직원 정보에는 Titan과 관련된 직원들의 직함, 부서, 관리 체계가 포함되어 있었다.
식별 정보와 로그인 활동이 담긴 애플리케이션 사용자 기록 (출처: 블로그 게시물)
그는 이것이 마이크로소프트 전체 직원 중 일부에 해당하며, 공격자가 표적형 사회공학 공격을 준비하는 데 악용될 수 있었을 것이라고 지적했다. 다만 이를 직접 시험해보지는 않았다고 밝혔다.
이 10대 연구자는 또한 Bing 분석 데이터 소스에도 접근해 최신 파티션에서 1행짜리 샘플 두 건을 추출했다. 여기에는 검색어, 식별자, 위치 필드가 포함되어 있었다. 위치 값은 역방향 IP 조회를 통해 도출된 국가 또는 주(state) 단위 정보였다고 그는 설명했다.
마이크로소프트가 사용자 브라우저에 저장하는 식별자인 MUID가 여러 데이터셋에 걸쳐 나타났기 때문에, 서비스 간에 사용자 활동을 연계 추적하는 것이 가능했을 것이라고 Faav는 말했다.
Faav는 17.3조라는 수치가 데이터베이스 메타데이터를 바탕으로 한 저장 용량 추정치이며, 여기에는 이력 데이터, 중복 데이터, 파생 데이터가 상당수 포함되어 있을 가능성이 높다고 밝혔다.
신고와 마이크로소프트의 대응
Faav는 9월 5일 마이크로소프트 보안대응센터(MSRC)에 이 취약점을 신고했다. MSRC는 그에게 테스트를 중단할 것을 요청했고, 연구 범위를 벗어난 활동이 없었는지 확인하기 위해 그의 IP 주소를 요청했다. 해당 엔드포인트는 9월 9일에 차단되었고, 그는 9월 17일 5,000달러의 포상금을 받았다.
그는 고객 데이터나 개인식별정보(PII)에는 전혀 손대지 않았으며, Bing 샘플 두 건도 누군가를 식별하거나 데이터셋 간 기록을 연결하거나 프로필을 구축하는 데 사용하지 않았다고 강조했다.
"Faav가 신고한 내용을 조사할 기회를 갖게 되어 감사하게 생각합니다. 그의 신고와 조율된 취약점 공개 절차는 저희가 서비스를 강화해 고객을 더 잘 보호하는 데 도움이 되었습니다. 저희는 마이크로소프트 버그 바운티 프로그램의 조건 하에 이루어지는 안전한 보안 연구를 소중히 여기며, 앞으로도 Faav와 계속 협력하기를 기대합니다,"라고 그의 게시물에 포함된 마이크로소프트 성명은 밝혔다.
Faav는 마이크로소프트가 이 게시물에 대해 편집 권한을 가지고 있었으며, 공개 전에 일부 항목과 수치를 삭제하고 영향에 대한 서술 방식을 다시 표현했다고 밝혔다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
