Azure Cosmos DB : porte ouverte sur les données des clients

Vous utilisez Azure Cosmos DB ? Peut-être avez-vous reçu, ces dernières heures, un mail d'avertissement de la part de Microsoft. Avec une invitation à modifier la clé primaire de chacun de vos comptes.

Cette alerte fait suite à la correction d'une faille de sécurité critique. Elle ouvrait la voie au vol des clés en question, entre autres secrets. À partir de là, un compte Azure suffisait à prendre le contrôle des bases de données associées.

La vulnérabilité trouve sa source en 2019, au moment où Microsoft introduit, dans Cosmos DB, les notebooks Jupyter. Ces derniers sont activés par défaut sur toutes les instances depuis février dernier.

Les chercheurs à l'origine de la découverte ont reçu la récompense maximale dans le cadre du bug bounty d'Azure. Soit 40 000 $.

Du côté de Microsoft, on affirme ne pas avoir de preuve d'exploitation de la faille - hormis par les chercheurs. L'enjeu est grand au vu des références que Cosmos DB compte dans sa clientèle.

Illustration principale © niroworld - Adobe Stock