剑客网

  |  手机版

收藏网站

剑客网,汇聚专业声音 解析IT潮流

win11系统

首页 > win11系统 >

Microsoft Azure中发现一个严重安全漏洞 2019年就已存在

浏览:出处:剑客网2021-08-30 10:09

  剑客网8月30日消息 安全研究人员在 Microsoft Azure 中发现了一个严重的安全漏洞,可以让攻击者不受限制地访问存储在其 Cosmos DB 服务上的任何和所有数据库。

  安全公司 Wiz 的研究人员发现,获取数据库的主键不仅是可能的,而且是微不足道的。这个被称为 ChoasDB 的漏洞可能自 2019 年推出 Jupyter Notebook 以来就已经存在,它使攻击者能够访问、编辑和删除数据或整个数据库。Microsoft 无法自行更改主键,并已通过电子邮件向客户建议他们这样做;但该公司因未能联系到足够数量的用户而受到批评。

  Wiz 首席技术官 Ami Luttwak 在接受路透社采访时说:“这是你能想象到的最严重的云漏洞。这是一个长期存在的秘密。这是 Azure 的中央数据库,我们能够访问我们的任何客户数据库。通缉”。

  Wiz 在一篇博客文章中透露了严重安全问题的一些细节,其中解释了它如何能够“ 完全不受限制地访问数千个 Microsoft Azure 客户的帐户和数据库,包括许多财富 500 强公司”。

  该帖子将攻击分解为两个步骤:

  第 1 部分:窃取 Cosmos DB 客户的主键

  首先,我们获得了对客户 Cosmos DB 主键的访问权限。主键是攻击者的圣杯——它们是长期存在的,并允许对客户数据进行完全的读取/写入/删除访问。

  2019 年,微软向 Cosmos DB 添加了一项名为 Jupyter Notebook 的功能,可让客户可视化他们的数据并创建自定义视图。该功能已于 2021 年 2 月自动为所有 Cosmos DB 启用。

  笔记本功能中的一系列错误配置开启了我们能够利用的新攻击向量。简而言之,笔记本容器允许将权限提升到其他客户笔记本(我们将很快分享有关提升的技术细节)。

  因此,攻击者可以访问客户的 Cosmos DB 主键和其他高度敏感的机密,例如笔记本 blob 存储访问令牌。

  第 2 部分:访问 Cosmos DB 中的客户数据

  接下来,在收集 Cosmos DB 机密后,我们表明攻击者可以利用这些密钥对存储在受影响的 Cosmos DB 帐户中的所有数据进行完全管理员访问。

  我们泄露了密钥以获得对客户资产和数据的长期访问。然后,我们可以直接从 Internet 控制客户 Cosmos DB,并拥有完整的读/写/删除权限。

  Wiz 以险恶的方式补充道:“现在想象一下,为 30 多个地区的数千名不同客户重复这个过程……”

  令人担忧的是,即使客户从未使用过笔记本功能,数据库的主键也可能已暴露。这是因为在今年 2 月,每个新创建的 Cosmos DB 帐户都默认启用了笔记本功能。维兹警告:

  如果客户在前三天未使用该功能,则该功能将被自动禁用。在该窗口期间利用该漏洞的攻击者可以获得主键并可以持续访问 Cosmos DB 帐户。

  微软发表声明称:

  2021 年 8 月 12 日,一名安全研究人员报告了 Azure Cosmos DB Jupyter Notebook 功能中的一个漏洞,该漏洞可能允许用户使用帐户的主读写密钥访问其他客户的资源。我们立即缓解了该漏洞。

  我们的调查表明,第三方或安全研究人员没有因为此漏洞而访问任何客户数据。我们已通知在研究人员活动期间其密钥可能受到影响的客户重新生成他们的密钥。

  该公司已经联系了大约 3,300 名客户,向他们建议密钥,Wiz 认为这还不够,认为应该告诉所有用户更改他们的安全凭证。

相关文章

最新新闻

网警备案