Ein gravierendes Authentifizierungsproblem in der internen Analytics-Plattform Titan hat Microsoft vor erhebliche Sicherheitsherausforderungen gestellt.
Der 16-jährige Sicherheitsforscher mit dem Pseudonym Faav hatte dem Technologiekonzern gemeldet, dass eine fehlende Überprüfung von JSON-Web-Token-Signaturen (JWT) eine vollständige Administrator-Übernahme sowie unautorisierte SQL-Datenbankabfragen ermöglichte.
Nachdem die Schwachstelle behoben und die Einzelheiten in einem Treffen besprochen wurden, veröffentlichte Faav am 25. September 2026 einen detaillierten Bericht zu dem Vorfall.
Schwachstelle in der Token-Validierung
Auslöser der Sicherheitslücke war eine unzureichende Prüfung der Authentifizierungs-Token. Über ein manipuliertes JWT mit den Parametern alg none und upn=admin gelang dem Forscher die vollständige Übernahme von Administratorrechten auf der Titan-Plattform, da die Signatur des Tokens vom Server zu keinem Zeitpunkt validiert wurde.
Zuvor hatte der Sicherheitsforscher mithilfe eines KI-gesteuerten Bots namens Antares, der Prompts großer Sprachmodelle mit automatisierten Skripten für Web-Anfragen kombinierte, nach Schwachstellen gesucht. Nach zehn Tagen Suche spürte das System die Schnittstelle hinter einem öffentlich erreichbaren Azure-Host auf.
Ein gefundener Endpunkt mit VPN-Hinweis verwies auf eine Azure-Cloud-Subdomain samt Swagger- und OpenAPI-Dokumentation, die vier Routen auflistete. Als Ausgangspunkt für die Analyse diente zudem ein Snapshot der Wayback Machine aus dem Jahr 2023, der eine Konfiguration von Apache Superset mit 56 Tabellendefinitionen enthielt.
Bei der Überprüfung der API-Schnittstellen zeigte sich, dass drei der vier Routen eine reguläre Authentifizierung über Azure AD voraussetzten. Die Route /v2/Query hingegen verlangte lediglich ein formal gültig erscheinendes JWT und akzeptierte darüber rohe SQL-Abfragen ohne Signaturprüfung. Der Anmeldename admin führte so direkt zur lokalen Benutzerkennung 1 mit umfassenden administrativen Befugnissen.
Der Einsatz von künstlicher Intelligenz zur Identifizierung von Sicherheitslücken verdeutlicht die neuen Risiken, denen moderne IT-Infrastrukturen gegenüberstehen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt im Zuge der neuen KI-Regulierungen kennen müssen. KI-Verordnung: Risikoklassen und Pflichten jetzt verstehen
Zugriff auf Milliarden Datensätze abgewehrt
Über die ungeschützte Schnittstelle bestand theoretischer Zugriff auf 17 angebundene Analytics-Datenbanken. Anhand von Metadaten schätzte der Forscher das Gesamtvolumen auf rund 17,3 Billionen Zeilen (exakt 17.333.335.124.315 Zeilen). Bestätigte Kundendaten waren von dem Datenzugriff nicht betroffen.
Im Rahmen der Nachforschungen wurden Metadaten von etwa 25.000 App-Accounts und E-Mail-Datensätzen, 17.990 Microsoft-Mitarbeiter-E-Mails sowie 15.001 Mitarbeiter-Organisations-Datensätze erreichbar. Zudem umfassten die Metadaten 355 Datenbankkonfigurationen, 20.979 virtuelle Dataset-SQL-Definitionen, 24.569 Dashboards und 425.891 Diagramme.
Faav testete den Zugriff stichprobenartig an rund 25.000 App-Accounts, 17.990 E-Mail-Adressen von Konzernmitarbeitern sowie zwei Einzelzeilen-Mustern aus separaten Bing-Analytics-Daten. Von 56 archivierten Routing-Werten erwiesen sich 30 als aktiv, verteilt über 24 Konfigurationen zu 17 Datenbanken und 9.863 eindeutigen Tabellennamen.
Immer mehr Unternehmen werden Ziel automatisierter Angriffe, die gezielt nach Schwachstellen in der Authentifizierung suchen. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Ihre IT-Sicherheit proaktiv stärken und Sicherheitslücken schließen, bevor Angreifer sie ausnutzen können. Gratis-E-Book: Cyber-Security-Bedrohungen abwenden
Reaktion und Behebung durch Microsoft
Nachdem Faav die Schwachstelle am 5. September 2026 an das Microsoft Security Response Center (MSRC) gemeldet hatte, stoppte das Unternehmen die weiteren Tests des Forschers. Am 9. September 2026, vier Tage nach dem Eingang der Meldung, schloss Microsoft die betroffene API vollständig.
Microsoft stufte den Vorfall intern als hochgradige Umgehung der Authentifizierung (Authentication Bypass) ein, passte die Logik zur Token-Validierung an und leitete Prüfungen weiterer Dienste ein, die vergleichbare Authentifizierungsmechanismen nutzen.
Für die Meldung sprach Microsoft dem australischen Forscher am 17. September 2026 eine Prämie im Rahmen des Bug-Bounty-Programms in Höhe von 5.000 US-Dollar (rund 7.126 AUD beziehungsweise 33.597 CNY) zu. Am 22. September 2026 fand zudem ein direktes Treffen zwischen dem Finder und Vertretern des Unternehmens statt.
