微软修补Azure PostgreSQL租户隔离漏洞

微软昨(4/28)日修补了Azure Database for PostgreSQL服务一项租户隔离(Tenant isolation)漏洞,可让攻击者访问同一Azure区域上多个不同租户(tenant)或账号上的PostgreSQL数据库。

这个问题是由安全厂商Wiz Research发现并通报微软。漏洞发生于Azure Database for PostgreSQL Flexible Server,厂商称之为ExtraReplica,它实际是2项漏洞组成,一个是源自微软近日为了强化功能而对PostgreSQL Flexible Server服务做的修改,导致权限升级;另一个则让发派给Azure其他域名的凭证得以登录PostgreSQL执行实例,达到跨租户(cross-tenant)访问的目的。成功开采这项ExtraReplica漏洞的攻击者,可复制并取得Azure PostgreSQL Flexible Server用户数据库的读取权限。

所有设置公开网络连接的Flexible Server Postgres服务器都受这漏洞影响。激活VPN或安全网络连接的环境则不受影响(不过这并非默认)。此外,Azure Database for PostgreSQL Single Server用户也未曝险。

Wiz Research于今年1月通报微软,微软已更新Flexible Servers以解决这项漏洞。Azure用户无需采取任何动作。不过为了安全起见,微软仍建议用户在设置Flexible Server执行实例时激活VPN等安全连接。

本月初AWS也修补了一项源于关系型数据库云计算服务RDS for PostgreSQL第三方开源扩展程序,可导致Aurora数据库内容外泄的文件读取漏洞。

发表评论