Azure Cosmos DB: Kā viena kļūda gandrīz atvēra visas datubāzes?

Bīstamā “CosmosEscape” ievainojamība atklāta Microsoft Azure

Lieliem mākoņpakalpojumu sniedzējiem, piemēram, Microsoft Azure, drošība ir absolūta prioritāte. Tāpēc ziņas par “CosmosEscape” ievainojamību, kas gandrīz pavēra pilnīgu piekļuvi visām Azure Cosmos DB datubāzēm, liek aizdomāties. Tomēr ir svarīgi uzreiz nomierināt - problēma ir pilnībā novērsta, un lietotājiem nav jāveic nekādas darbības.

Microsoft Azure Cosmos DB ir NoSQL datubāze, ko Microsoft pati izmanto saviem svarīgākajiem pakalpojumiem, piemēram, Entra ID, Teams un Copilot. Tieši šis plašais pielietojums padarīja atklāto ievainojamību tik bīstamu.

Kā “CosmosEscape” apdraudēja Azure sistēmu?

Drošības uzņēmums Wiz atklāja šo ievainojamību, pētot Gremlin API pieprasījumus. Viņi ievēroja .NET izņēmumus, kas radās, kad Gremlin serveris mēģināja kompilēt pieprasījumus izpildāmā kodā. Kaut arī šim kodam bija jādarbojas izolētā vidē (sandbox), izrādījās, ka šī izolācija nav bijusi pietiekami spēcīga.

• **Sandbox apmānīšana:** Izmantojot vājo vietu, Wiz pētniekiem izdevās iegūt lasīšanas un rakstīšanas piekļuvi, kā arī izpildīt savu kodu mākoņserverī.
• **Piekļuve DB-Gateway:** No šī punkta viņi varēja izpildīt kodu DB-Gateway - pakalpojumā, kas apstrādā klientu pieprasījumus un darbojas uz vairāku klientu Service Fabric klasteriem.
• **Atrasts “Cosmos Master Key”:** Galvenais atklājums bija “Cosmos Master Key”. Šī atslēga nebija piesaistīta vienam kontam, bet darbojās visā platformā, reģionos un dažādās API (SQL, MongoDB, Cassandra, Gremlin). Tā ļāva iegūt primārās atslēgas jebkurai Cosmos DB datubāzei caur publiski pieejamiem piekļuves punktiem.
• **Piekļuve Config Store:** Ar “Cosmos Master Key” palīdzību tika iegūta piekļuve arī Config Store - reģionālai reģistrācijas datubāzei, kas glabāja visus Cosmos DB kontu nosaukumus, abonementu ID, tīkla iestatījumus un citu sensitīvu informāciju. Config Store pati par sevi bija Cosmos DB datubāze, kas vēl vairāk paplašināja piekļuves iespējas.

Microsoft ātrā reakcija un ilgtermiņa risinājums

Wiz informēja Microsoft par ievainojamību 2025. gada 20. novembrī. Microsoft reaģēja zibenīgi, jau 22. novembrī izlaižot neatliekamo labojumu (hotfix) un sāka strādāt pie ilgtermiņa arhitektūras izmaiņām. Pilnīga risinājuma ieviešana visos reģionos tika pabeigta tikai 2026. gada jūlijā. Microsoft apstiprināja, ka nav atrasti nekādi pierādījumi par ievainojamības ļaunprātīgu izmantošanu reālajā pasaulē, izņemot Wiz veiktās pārbaudes.

Mākoņpakalpojumu drošības mācības

Šis incidents nav pirmais šāda veida gadījums. Jau 2023. gada vasarā Microsoft saskārās ar līdzīgu problēmu, kad tika nozagta “Master Key” Azure mākoņsistēmai, padarot kompromitējamu visu sistēmu. Tas atgādina, ka pat lielākajiem tehnoloģiju gigantiem var būt drošības ievainojamības un ka nepārtraukta modrība ir būtiska. Klientiem ir jāuzticas, ka pakalpojumu sniedzēji proaktīvi atklās un novērsīs šādas kļūdas, lai viņu dati būtu drošībā. Kā Tu vērtē lielo mākoņpakalpojumu drošības līmeni pēc šādiem incidentiem?