Cosmos資料庫嚴重漏洞影響數以千計的客戶

雲端基礎設施安全公司Wiz 週四透露了一個現已修復的Azure Cosmos 資料庫漏洞的詳細信息，該漏洞可能被利用來授予任何Azure 用戶對其他客戶資料庫實例的完全管理員訪問權限，而無需任何授權。

該漏洞授予讀取、寫入和刪除權限，被稱為“ ChaosDB ”，Wiz 研究人員指出，“該漏洞具有微不足道的利用，不需要任何先前訪問目標環境的權限，並影響數千個組織，包括眾多財富500 強公司。”

堆疊溢位團隊
Cosmos DB 是微軟專有的NoSQL 資料庫，它被宣傳為“一種完全託管的服務”，它“通過自動管理、更新和修補將資料庫管理從您手中解放出來”。

Wiz 研究團隊於8 月12 日向微軟報告了該問題，此後Windows 製造商在負責任披露後48 小時內採取措施緩解該問題，並於8 月17 日向發現者提供了40,000 美元的賞金。

微軟在聲明中表示：「我們沒有跡象表明研究人員以外的外部實體可以存取與您的Azure Cosmos DB 帳戶關聯的主要讀寫密鑰。」 「此外，由於此漏洞，我們不知道有任何數據存取。啟用了vNET 或防火牆的Azure Cosmos DB 帳戶受到額外安全機制的保護，可防止未經授權的存取風險。”

Wiz 發現的漏洞涉及Cosmos DB 的Jupyter Notebook 功能中的一系列漏洞，使攻擊者能夠獲取與目標Cosmos DB 帳戶對應的憑證，包括Primary Key，它提供對資料庫帳戶管理資源的存取.

企業密碼管理
「使用這些憑證，可以透過多種管道查看、修改和刪除目標Cosmos DB 帳戶中的數據，」研究人員說。因此，任何啟用了Jupyter Notebook 功能的Cosmos DB 資產都可能受到影響。

儘管微軟通知了超過30% 的Cosmos DB 客戶關於潛在的安全漏洞，但Wiz 預計實際數字會更高，因為該漏洞已被利用數月。

「每個Cosmos DB 客戶都應該假設他們已經被暴露，」Wiz 研究人員指出，並補充說，「我們還建議您查看Cosmos DB 帳戶中過去的所有活動。」 此外，微軟還敦促其客戶重新生成他們的Cosmos DB 主鍵，以減輕由此缺陷引起的任何風險。