Исследователь Лаксман Муфия рассказал о выявленной уязвимости | SecAtor

Исследователь Лаксман Муфия рассказал о выявленной уязвимости в механизме сброса пароля от учетной записи Microsoft, за которую он получил 50 тыс. долларов в качестве bug bounty.

При сбросе пароля на электронную почту или телефон пользователя направляется семизначный код, после ввода которого можно заменить пароль. Таким образом общее количество возможных вариантов составляет 10 млн.

Код шифруется перед отправкой на проверку, но Муфия смог разобраться с техникой шифрования. Тем не менее, ограничение на количество неверных вводов кода оказалось на месте и после 122 попыток механизм был заблокирован.

Решение оказалось простым - запросы на проверку следовало отправлять одновременно с точностью до миллисекунды. При одновременном отправлении 1000 зашифрованных кодов, среди которых был и верный, исследователь смог успешно сбросить пароль.

Аналогичным образом он обошел и 2FA, которая требовала дополнительную отправку шестизначного кода. Уязвимость также имела место.

Из-за сложности атаки уязвимость была признана Microsoft важной, а не критичной, но вознаграждение тем не менее Муфия получил. А Microsoft закрыли ошибку в ноябре 2020 года.