Cosmos データベースの重大な脆弱性が数千の顧客に影響

クラウド インフラストラクチャ セキュリティ企業 Wiz は木曜日、現在修正されている Azure Cosmos データベースの脆弱性の詳細を明らかにしました。この脆弱性が悪用されると、Azure ユーザーに承認なしで他の顧客データベース インスタンスへの完全な管理者アクセス権が付与される可能性があります。

Wizの研究者らは、この脆弱性は読み取り、書き込み、削除の権限を付与しており、「ChaosDB」と呼ばれていると指摘し、「この脆弱性には、ターゲット環境への事前アクセスを必要としない簡単なエクスプロイトがあり、多数のフォーチュン500企業を含む数千の組織に影響を与える」と述べた。 」

スタック オーバーフロー チーム
Cosmos DB は Microsoft 独自の NoSQL データベースで、「自動化された管理、更新、パッチ適用によりデータベース管理をユーザーの手から解放する」「フルマネージド サービス」として宣伝されています。

Wiz 研究チームは 8 月 12 日にこの問題を Microsoft に報告し、その後 Windows メーカーは責任ある開示から 48 時間以内に問題を軽減する措置を講じ、8 月 17 日に発見者に 40,000 ドルの報奨金を申し出ました。

「研究者以外の外部団体が、お客様の Azure Cosmos DB アカウントに関連付けられた主な読み取り/書き込みキーにアクセスしたという兆候はありません」と Microsoft は声明で述べています。この脆弱性。アクセス。vNET またはファイアウォールが有効になっている Azure Cosmos DB アカウントは、不正アクセスのリスクを防ぐために追加のセキュリティ メカニズムによって保護されています。」

Wiz によって発見された脆弱性には、Cosmos DB の Jupyter Notebook 機能の一連の脆弱性が関係しており、攻撃者はデータベース アカウント管理リソースへのアクセスを提供する主キーなど、対象の Cosmos DB アカウントに対応する資格情報を取得できます。

エンタープライズパスワード管理
「これらの資格情報を使用すると、ターゲットの Cosmos DB アカウント内のデータを複数のチャネルを通じて表示、変更、削除できる」と研究者らは述べています。したがって、Jupyter Notebook 機能が有効になっている Cosmos DB アセットは影響を受ける可能性があります。

Microsoft は 30% Cosmos DB の顧客に潜在的なセキュリティ脆弱性について通知しましたが、この脆弱性は何か月も悪用されているため、実際の数はさらに増えると Wiz は予想しています。

Wiz の研究者は、「すべての Cosmos DB 顧客は、自分たちが危険にさらされていると想定する必要があります。また、Cosmos DB アカウントの過去のアクティビティをすべて確認することをお勧めします。」さらに、Microsoft は顧客に、Cosmos DB の主キーを再生成するよう促しています。この欠陥によって引き起こされるリスクを軽減するため。