Bei der Cosmos-DB von Microsoft handelt es sich um eine NoSQL-Datenbank in der Azure-Cloud. Microsoft nutzt die selbst etwa für Dienste wie Entra ID, Teams oder Copilot. IT-Forscher haben Schwachstellen entdeckt, durch die alle diese Datenbanken potenziell zugreifbar waren.
Das erklärt das IT-Sicherheitsunternehmen Wiz in einem Blogbeitrag. Vorweg gibt es die Entwarnung: Microsoft hat das Problem bereits vollständig beseitigt, einschließlich des Cosmos-Masterkeys. Außerdem haben die Entwickler neue Sicherheitsmaßnahmen eingeführt, um ähnliche Angriffe zu unterbinden. Kunden müssen dazu nichts weiter unternehmen.
Angriffsvektor Gremlin-Stack
Die IT-Forscher haben Abfragen mittels der API für Gremlin genauer untersucht. Dabei stießen sie auf Ausnahmemeldungen (.NET Exceptions). Gremlin-Server kompilieren Anfragen demnach oftmals in ausführbaren Code, der in einer abgeschotteten Umgebung (Sandbox) läuft – und die halten oftmals nicht sonderlich gut. So auch in diesem Fall. Es gelang den IT-Forschern, Lese- und Schreibzugriffe zu erlangen und schließlich sogar, eigenen Code auf dem Cloud-Server auszuführen. Von dort aus erlangten sie die Möglichkeit, Code auf dem DB-Gateway auszuführen, einem Dienst, der Kundenanfragen in deren Namen ausführt und auf Service-Fabric-Clustern mit mehreren Kunden läuft. Dort lagen jedoch keine Datenbanken anderer Kunden herum. Der Zugriff auf deren Cosmos-DBs erfolgt mit dem Primary Key des jeweiligen Kunden.
