Компания Wiz, занимающаяся безопасностью облачной инфраструктуры, в четверг раскрыла подробности уже исправленной уязвимости базы данных Azure Cosmos, которую можно использовать для предоставления любому пользователю Azure полного администраторского доступа к экземплярам базы данных других клиентов без какой-либо авторизации.
Уязвимость предоставляет разрешения на чтение, запись и удаление и получила название ChaosDB, - отметили исследователи Wiz. - Уязвимость имеет тривиальный эксплойт, который не требует предварительного доступа к целевой среде и затрагивает тысячи организаций, включая многочисленные компании из списка Fortune 500. ».
Команда переполнения стека
Cosmos DB — это собственная база данных NoSQL от Microsoft, которая позиционируется как «полностью управляемая служба», которая «берёт управление базой данных из ваших рук благодаря автоматизированному управлению, обновлениям и исправлениям».
Исследовательская группа Wiz сообщила о проблеме в Microsoft 12 августа, после чего производитель Windows предпринял шаги по устранению проблемы в течение 48 часов после ответственного раскрытия информации и 17 августа предложил нашедшему награду в размере 40 000 долларов.
«У нас нет никаких указаний на то, что внешние лица, кроме исследователей, имели доступ к основным ключам чтения и записи, связанным с вашей учетной записью Azure Cosmo DB», — говорится в заявлении Microsoft. «Кроме того, нам неизвестны какие-либо данные в результате доступ. Учетные записи Azure CosmoDB с включенной виртуальной сетью или брандмауэром защищены дополнительными механизмами безопасности для предотвращения риска несанкционированного доступа».
Уязвимости, обнаруженные Wiz, включают ряд уязвимостей в функции Jupyter Notebook Cosmos DB, которые позволяли злоумышленнику получить учетные данные, соответствующие целевой учетной записи Cosmos DB, включая первичный ключ, который обеспечивает доступ к ресурсам управления учетными записями базы данных.
Управление корпоративными паролями
«Используя эти учетные данные, данные в целевой учетной записи Cosmos DB можно просматривать, изменять и удалять по нескольким каналам», — говорят исследователи. Таким образом, это может повлиять на любые ресурсы Cosmos DB с включенной функциональностью Jupyter Notebook.
Хотя Microsoft уведомила более 30% клиентов Cosmos DB о потенциальной уязвимости безопасности, Wiz ожидает, что фактическое число будет выше, поскольку уязвимость использовалась в течение нескольких месяцев.
«Каждый клиент Cosmos DB должен предполагать, что его подвергли риску», — отметили исследователи Wiz, добавив: «Мы также рекомендуем вам просмотреть все прошлые действия в вашей учетной записи Cosmos DB». для снижения любого риска, вызванного этим недостатком.
Оригинальная статья написана Chief Security Officer, при воспроизведении просьба указывать: https://www.cncso.com/ru/serious-vulnerability-found-in-cosmos-database.html.
