„Най -лошата уязвимост в облака, която можете да си представите“ е открита в Microsoft Azure

Wiz за доставчик на Cloud Security обявявам Вчера открих уязвимост в услугата за управлявани бази данни на Microsoft Azure, Cosmos DB, която предоставя достъп за четене/запис до всяка база данни в услугата за всеки нападател, който е открил грешката и я е използвал.

Въпреки че Wiz открива уязвимостта – наречена „Chaos DB“ – само преди две седмици, компанията казва, че уязвимостта дебне в системата „поне няколко месеца, вероятно години“.

Прашка около Юпитер

През 2019 г. Microsoft добави отворен код Бележник Jupyter Функции на Cosmos DB. Бележниците на Jupyter са особено лесен за използване начин за внедряване на алгоритми за машинно обучение; Microsoft специално популяризира лаптопите като полезен инструмент за разширена визуализация на данни, съхранявани в Cosmos DB.

Функционалността на Jupyter Notebook беше автоматично активирана за всички екземпляри на Cosmos DB през февруари 2021 г., но Wiz вярва, че въпросната грешка вероятно се връща още по -далеч – вероятно чак когато Cosmos DB за първи път представи функцията през 2019 г.

Wiz все още не разкрива всички технически подробности, но кратката версия е, че неправилно конфигуриране във функцията Jupyter отваря експлоатация на ескалация на привилегии. Този експлойт може да бъде злоупотребен за получаване на достъп до първичните ключове на други клиенти на Cosmos DB – според Wiz, Който Първичният ключ на другия клиент на Cosmos DB, заедно с други тайни.

Достъпът до първичния ключ на екземпляр на Cosmos DB е „Game Over“. Позволява пълни разрешения за четене, запис и изтриване за цялата база данни, принадлежаща на този ключ. Ами Люттвак, главен технологичен директор на Wiz, нарича това „най -лошата облачна уязвимост, която можете да си представите“, добавяйки: „Това е централната база данни за Azure и успяхме да получим достъп до всяка база данни на клиенти, която искаме.“

тайни на дългия живот

За разлика от тайните и временните символи, първичният ключ на Cosmos DB не изтича – ако вече е изтекъл и не е променен, нападателят все още може да използва този ключ за изтегляне, манипулиране или унищожаване на базата данни години след това.

Според Wiz само около 30 % от клиентите на Cosmos DB са изпратили имейл до Microsoft за уязвимостта. Имейлът предупреждава тези потребители да завъртят ръчно своя първичен ключ, за да се гарантира, че всички изтекли ключове вече не са полезни за нападателите. Тези клиенти на Cosmos DB са тези, които са активирали функционалността на Jupyter Notebook през седмицата или така, че Wiz е открил уязвимостта.

От февруари 2021 г., когато бяха създадени всички нови екземпляри на Cosmos DB с активирана функционалност на Jupyter Notebook, услугата Cosmos DB автоматично деактивира функционалността на Notebook, ако не се използва през първите три дни. Ето защо броят на уведомените клиенти на Cosmos DB е толкова нисък – около 70 процента от клиентите Не Microsoft уведоми, че Jupyter е или деактивиран ръчно, или е деактивиран автоматично поради липса на употреба.

За съжаление, това не обхваща пълния обхват на уязвимостта. Тъй като всеки екземпляр на Cosmos DB с активиран Jupyter е уязвим и първичният ключ не е ефимерна тайна, невъзможно е да се знае със сигурност кой има ключовете за всякакви инстанции. Нападател с конкретна цел може спокойно да вземе първичния ключ на тази цел, но не е направил нищо достатъчно отвратително, за да бъде забелязан (все още).

Също така не можем да изключим по-широк сценарий на въздействие, като хипотетичен нападател изстъргва първичния ключ от всеки нов екземпляр на Cosmos DB по време на първоначалния тридневен период на уязвимост и след това запазва тези ключове за по-късна употреба. Тук сме съгласни с Wiz – ако вашият екземпляр на Cosmos DB е възможен Старт Функцията за бележник Jupyter е активирана, трябва Завъртете клавишите му незабавно, за да се гарантира постоянна безопасност.

Отговорът на Microsoft

Microsoft деактивира уязвимостта на Chaos DB преди две седмици – по -малко от 48 часа след като Wiz съобщи за това на частно. За съжаление Microsoft не може да променя първичните ключове на своите клиенти сама; Тежестта пада върху клиентите на Cosmos DB завъртете ключовете им.

като За Microsoft няма доказателства, че някакви злонамерени актьори са открили и използвали DB на Chaos преди откриването на Wiz. „Не знаем за достъп до данни за клиенти поради тази уязвимост“, се казва в изявление, изпратено от Microsoft до Bloomberg. В допълнение към предупреждението на повече от 3000 клиенти за уязвимостта и предоставянето на насоки за смекчаване, Microsoft е платила на Wiz награда от 40 000 долара.