La société de sécurité d’infrastructure cloud Wiz a révélé jeudi les détails d’une vulnérabilité de la base de données Azure Cosmos désormais corrigée qui aurait pu être potentiellement exploitée pour accorder à tout utilisateur Azure un accès administrateur complet aux instances de base de données d’autres clients sans aucune autorisation.
La faille, qui accorde des privilèges de lecture, d’écriture et de suppression, a été surnommée « ChaosDB« , les chercheurs de Wiz notant que » la vulnérabilité a un exploit trivial qui ne nécessite aucun accès préalable à l’environnement cible, et affecte des milliers d’organisations, y compris de nombreuses entreprises Fortune 500 « .
Cosmos DB est la propriété de Microsoft Base de données NoSQL qui est présenté comme « un service entièrement géré » qui « supprime l’administration de la base de données avec une gestion, des mises à jour et des correctifs automatiques ».
L’équipe de recherche Wiz a signalé le problème à Microsoft le 12 août, après quoi le fabricant de Windows a pris des mesures pour atténuer le problème dans les 48 heures suivant la divulgation responsable, en plus d’attribuer une prime de 40 000 $ aux chercheurs le 17 août.
« Nous n’avons aucune indication que des entités externes en dehors du chercheur ont eu accès à la clé de lecture-écriture principale associée à votre ou vos comptes Azure Cosmos DB », a déclaré Microsoft dans un communiqué. « De plus, nous n’avons connaissance d’aucun accès aux données en raison de cette vulnérabilité. Les comptes Azure Cosmos DB avec un vNET ou un pare-feu activé sont protégés par des mécanismes de sécurité supplémentaires qui empêchent les risques d’accès non autorisé.
L’exploit identifié par Wiz concerne une chaîne de vulnérabilités dans la fonctionnalité Jupyter Notebook de Cosmos DB, permettant à un adversaire d’obtenir les identifiants correspondant au compte Cosmos DB cible, y compris le Clé primaire, qui permet d’accéder aux ressources administratives du compte de base de données.
« En utilisant ces informations d’identification, il est possible d’afficher, de modifier et de supprimer les données du compte Cosmos DB cible via plusieurs canaux », ont déclaré les chercheurs. Par conséquent, tout actif Cosmos DB sur lequel la fonctionnalité Jupyter Notebook est activée est potentiellement impacté.
Bien que Microsoft ait informé plus de 30% des clients de Cosmos DB de la violation potentielle de la sécurité, Wiz s’attend à ce que le nombre réel soit beaucoup plus élevé, étant donné que la vulnérabilité est exploitable depuis des mois.
« Chaque client de Cosmos DB doit supposer qu’il a été exposé », ont noté les chercheurs de Wiz en ajoutant, « nous vous recommandons également d’examiner toutes les activités passées de votre compte Cosmos DB ». De plus, Microsoft exhorte également ses clients à régénérer leurs clés primaires Cosmos DB pour atténuer tout risque résultant de la faille.
