新聞|微軟雲中央資料庫被曝“你能想象的最可怕漏洞”,數千企業資料可被獲取

文章转载自大数据文摘|BigDataDiges

你能想到的“最可怕的漏洞”是什麼樣子的?

最近,安全家公司 Wiz 報告了 Microsoft Azure 基礎設施中的一個“超級漏洞”,這一漏洞下,駭客能夠訪問、修改和刪除數千名 Azure 客戶的資料。

微軟目前已經向客戶告知了這一漏洞的存在。

8月9日,專業安全公司Wiz 的首席技術官 Ami Luttwak釋出了一篇部落格《ChaosDB:我們是如何入侵包含數千個 Azure 客戶的資料庫的》,表示他們發現了微軟Azure Cosmos DB Jupyter Notebook 功能中的漏洞,並在三天後向微軟報告。Ami Luttwak也是微軟雲安全集團的前首席技術官。

Wiz在這份部落格中稱,”我們能夠完全不受限制地訪問數千個 Microsoft Azure 客戶(包括許多全球500 強公司)的帳戶和資料庫。” Wit將此漏洞命名為#ChaosDB,並且公佈了其入侵這一資料庫的全過程:

第 1 步:獲取 Cosmos DB 客戶的主鍵

首先,我們獲得了對客戶 Cosmos DB 主鍵的訪問許可權。

2019 年,微軟向 Cosmos DB 添加了一項名為 Jupyter Notebook 的功能,讓客戶可以視覺化他們的資料並建立自定義檢視。該功能已於 2021 年 2 月自動為所有 Cosmos DB 啟用。

Notebook功能中的一系列錯誤配置讓我們能夠找到新的攻擊向量。簡而言之,Notebook允許將許可權擴充至其他客戶筆記本。

因此,攻擊者可以訪問客戶的 Cosmos DB 主鍵和其他高度敏感的機密,例如Notebook blob 儲存訪問令牌。

第 2 步:訪問 Cosmos DB 中的客戶資料

接下來,在收集 Cosmos DB 機密後,攻擊者可以利用這些金鑰對儲存在受影響的 Cosmos DB 帳戶中的所有資料進行管理員訪問。

我們洩露了金鑰以獲得對客戶資產和資料的長期訪問。然後,我們可以直接從 Internet 控制客戶 Cosmos DB,並擁有完整的讀/寫/刪除許可權。

Wiz很快向微軟釋出了該漏洞,微軟也因此釋出了一份宣告, 稱它立即解決了這個問題。微軟感謝安全研究人員作為協調披露漏洞的一部分所做的工作。微軟還透過電子郵件告訴 Wiz,它計劃支付 40,000 美元用於報告該漏洞。

8 月 26 日,微軟透過電子郵件通知了數千名受此問題影響的雲客戶。該郵件中,微軟警告其客戶,攻擊者有能力讀取、修改甚至刪除所有主要資料庫。Wiz正是透過獲得對主要讀寫金鑰的訪問許可權,才能獲得對客戶資料庫的完全訪問許可權。由於微軟自己無法更改這些金鑰,因此該公司要求其客戶採取行動並交換 CosmosDB 的這個主金鑰作為預防措施。雖然安全漏洞已經被關閉,但客戶應該採取這一步來最終防止可能的資料庫洩露。微軟在訊息中進一步寫道,他們沒有發現第三方(Wiz 除外)訪問過這些金鑰的證據。

Luttwak 告路透社,微軟這一警告郵件還不夠:該公司僅在 Wiz 發現並調查問題的同一個月寫信給那些易受攻擊的金鑰可見的客戶。但是,攻擊者本來可以檢視更多客戶的金鑰,因為該漏洞已在 2019 年首次釋出 Jupyter 功能時引入。每個使用該功能的 Cosmos DB 帳戶都存在潛在風險。從今年 2 月開始,每個新建立的 Cosmos DB 帳戶都預設啟用筆記本功能至少三天,即使客戶不知道並且從未使用過該功能,他們的主鍵也可能已經暴露。

由於主鍵是一個持久的秘密,不會自動更新,即使受影響的公司關閉了 Cosmos DB 中的 Jupyter 功能,潛在的攻擊者仍然可以濫用獲得的金鑰。

儘管受到 Wiz 的批評,微軟並未通知所有將 Jupyter Notebook 功能開啟到 Cosmos DB 的客戶。當被問及此事時,微軟只告訴路透社 ,它已通知可能受影響的客戶,但沒有進一步解釋該宣告。

美國國土安全部的網路安全和基礎設施安全域性也就此釋出了公告,並使用了更強硬的語言,明確表示它不僅針對那些收到通知的客戶,而且針對使用 Azure Cosmos DB 的每個使用者:“CISA 強烈鼓勵 Azure Cosmos DB 客戶滾動和重新生成他們的證書金鑰”。

Luttwak 說:“這是你能想象到的最嚴重的雲漏洞。這是 Azure 的中央資料庫,我們能夠訪問我們想要的任何客戶資料庫。”

這個 Microsoft 漏洞對於任何使用 Cosmos DB 的公司來說都是一場噩夢。成千上萬的公司,其中包括全球500 強企業在內的許多全球公司,只要使用 Miscrosoft 的 Azure Cosmos DB 來近乎實時地管理來自世界各地的大量資料,那麼他們的資料現在可能面臨被駭客入侵、被盜甚至刪除的風險。

在部落格中,Wiz表示,“近年來,隨著越來越多的公司遷移到雲,資料庫暴露變得異常普遍,罪魁禍首通常是客戶環境中的錯誤配置。”

為了降低此類威脅發生的可能性,想要將資料移至雲端的公司只有一種選擇:加密。這裡的加密並不是指伺服器端加密,而是真正的端到端加密,這可以讓所有人,甚至服務提供商 — — 都無法掌握金鑰。

對 Miscrosoft 的 Azure 資料庫的駭客攻擊再次表明,加密是我們抵禦惡意攻擊者和保護資料安全的最佳工具。當資料儲存在雲中時,正確保護這些資料的唯一方法是端到端加密 — 沒有任何型別的後門。

大数据文摘公眾號

這是一個專注於數據分析職場的內容部落格,聚焦一批數據分析愛好者,在這裡,我會分享數據分析相關知識點推送、(工具/書籍)等推薦、職場心得、熱點資訊剖析以及資源大盤點,希望同樣熱愛數據的我們一同進步! 臉書會有更多互動喔:https://www.facebook.com/shujvfenxi/

這是一個專注於數據分析職場的內容部落格,聚焦一批數據分析愛好者,在這裡,我會分享數據分析相關知識點推送、(工具/書籍)等推薦、職場心得、熱點資訊剖析以及資源大盤點,希望同樣熱愛數據的我們一同進步! 臉書會有更多互動喔:https://www.facebook.com/shujvfenxi/