Azure Cosmos DB : porte ouverte sur les données des clients

Vous utilisez Azure Cosmos DB ? Peut-être avez-vous reçu, ces dernières heures, un mail d'avertissement de la part de Microsoft. Avec une invitation à modifier la clé primaire de chacun de vos comptes.

Cette alerte fait suite à la correction d'une faille de sécurité critique. Elle ouvrait la voie au vol des clés en question, entre autres secrets. À partir de là, un compte Azure suffisait à prendre le contrôle des bases de données associées.

La vulnérabilité trouve sa source en 2019, au moment où Microsoft introduit, dans Cosmos DB, les notebooks Jupyter. Ces derniers sont activés par défaut sur toutes les instances depuis février dernier.

La faille met en jeu une élévation de privilèges. À la demande de Microsoft, le rapport technique complet n'est pas encore publié.

Les chercheurs à l'origine de la découverte ont reçu la récompense maximale dans le cadre du bug bounty d'Azure. Soit 40 000 $.

Crazy week for the Wiz research team. We reported a dangerous, practical and exploitable vulnerability in Azure. Microsoft took it very seriously and issued a temporary fix within a day. Three days later we got confirmation and 40k max possible bounty. Good job @msftsecresponse https://t.co/jyOOlMiatB

- Shir (@shirtamari) August 18, 2021

Du côté de Microsoft, on affirme ne pas avoir de preuve d'exploitation de la faille - hormis par les chercheurs. L'enjeu est grand au vu des références que Cosmos DB compte dans sa clientèle.

Illustration principale © niroworld - Adobe Stock