微软Azure数据库服务Cosmos DB含有安全漏洞

专门提供云计算安全服务的安全企业Wiz周四(8/26)披露,微软Azure的Cosmos DB非关系型数据库服务含有一系列的安全漏洞,将允许任何用户下载、删除或操控用户的商业数据库,或是访问Cosmos DB的底层架构。被Wiz统称为ChaosDB的漏洞已存在两年之久,波及Fortune 500排行榜上的许多大型企业,诸如可口可乐、Exxon-Mobil与Citrix等。

根据Wiz的说明,微软是在2019年时于Cosmos DB添加了一项Jupyter Notebook功能,可让客户可视化数据库并创建定制化的视觉查看画面,最初客户必须手动激活Jupyter Notebook,但该功能在今年2月成为Cosmos DB的默认值。

图片来源_Wiz

然而,Wiz团队却发现Jupyter Notebook含有一系列的错误配置,其容器含有一个权限扩张漏洞,得以进入其它客户的Jupyter Notebook,并取得该客户的主要密钥与Notebook访问令牌等机密信息。在掌握了上述机密信息之后,黑客就能长期访问受害Cosmos DB账号的所有资料,还具备完整的读、写与删除权限。

图片来源_Wiz

Wiz团队表示,在他们向微软通报之后,微软于48小时内就关闭了Jupyter Notebook功能,是他们所见过的反应最快的安全团队。此外,微软也在周四通知了超过30%的Cosmos DB客户,要求它们手动轮替访问密钥以降低风险。

微软只知会了在Wiz研究期间(约一周)受到波及的客户,然而,Wiz团队相信,过去曾激活Jupyter Notebook服务,或是今年2月之后才创建Cosmos DB账号的用户,都可能受到ChaosDB漏洞的波及,呼吁它们都应采取保护措施,轮替访问密钥。

根据路透社的报道,微软已坦承相关漏洞的存在,也将支付4万美元的漏洞挖掘奖金给Wiz。

发表评论