Cosmos 数据库严重漏洞影响了数以千计的微软 Azure 客户

关键宇宙数据库缺陷影响了数千个Microsoft Azure客户

云基础设施安全公司 Wiz 周四透露了一个现已修复的 Azure Cosmos 数据库漏洞的详细信息,该漏洞可能被利用来授予任何 Azure 用户对其他客户数据库实例的完全管理员访问权限,而无需任何授权。

该漏洞被称为“ ChaosDB ,Wiz 研究人员指出,“该漏洞不需要任何先前访问目标环境的权限,并影响数千个组织,包括众多财富 500 强公司。”

Cosmos DB 是微软专有的NoSQL 数据库,它被宣传为“一种完全托管的服务”,它“通过自动管理、更新和修补将数据库管理从您手中解放出来”。

Wiz 研究团队于 8 月 12 日向微软报告了该问题,此后 Windows 制造商在负责任披露后 48 小时内采取措施缓解该问题,并于 8 月 17 日向发现者提供了 40,000 美元的赏金。

微软在一份声明中表示:“我们没有迹象表明研究人员以外的外部实体可以访问与您的 Azure Cosmos DB 帐户关联的主要读写密钥。” “此外,由于此漏洞,我们不知道有任何数据访问。启用了 vNET 或防火墙的 Azure Cosmos DB 帐户受到额外安全机制的保护,可防止未经授权的访问风险。”

Wiz 发现的漏洞涉及 Cosmos DB 的 Jupyter Notebook 功能中的一系列漏洞,使攻击者能够获取与目标 Cosmos DB 帐户对应的凭据,包括Primary Key,它提供对数据库帐户管理资源的访问.

“使用这些凭证,可以通过多种渠道查看、修改和删除目标 Cosmos DB 帐户中的数据,”研究人员说。因此,任何启用了 Jupyter Notebook 功能的 Cosmos DB 资产都可能受到影响。

尽管微软通知了超过 30% 的 Cosmos DB 客户关于潜在的安全漏洞,但 Wiz 预计实际数字会更高,因为该漏洞已被利用数月。

“每个 Cosmos DB 客户都应该假设他们已经被暴露,”Wiz 研究人员指出,并补充说,“我们还建议您查看 Cosmos DB 帐户中过去的所有活动。” 此外,微软还敦促其客户重新生成他们的 Cosmos DB 主键,以减轻由该缺陷引起的任何风险。

 

Cosmos 数据库严重漏洞影响了数以千计的微软 Azure 客户

极牛网精选文章《Cosmos 数据库严重漏洞影响了数以千计的微软 Azure 客户》文中所述为作者独立观点,不代表极牛网立场。如若转载请注明出处:https://jikenb.com/16047.html

发表评论

登录后才能评论