ChaosDB : una clamorosa RCE con accesso anonimo su Microsoft Azure Cosmos DB.

Microsoft ha avvertito migliaia di clienti Azure di una vulnerabilità critica, ora risolta, rilevata in Cosmos DB, la quale ha consentito a qualsiasi utente di assumere il controllo remoto dei database di altri utenti, fornendo loro l’accesso completo come amministratore senza richiedere l’autorizzazione.

Azure Cosmos DB è un servizio di database NoSQL distribuito a livello globale e completamente gestito da Microsoft, ed utilizzato da clienti di alto profilo, tra cui Mercedes Benz, Symantec, Coca-Cola, Exxon-Mobil e Citrix.

“Microsoft è recentemente venuta a conoscenza di una vulnerabilità in Azure Cosmos DB che potrebbe potenzialmente consentire a un utente di accedere alle risorse di un altro cliente utilizzando la chiave di lettura-scrittura primaria dell’account”

ha detto la società ai clienti, ma per fortuna sembra che tale bug non sia stato utilizzato da campagne di attacco attive.

“Non abbiamo alcuna indicazione che entità esterne al di fuori del ricercatore abbiano avuto accesso alla chiave di lettura-scrittura primaria associata agli account Azure Cosmos DB. Inoltre, non siamo a conoscenza di alcun accesso ai dati a causa di questa vulnerabilità”.

Il team di ricerca della società di sicurezza cloud Wiz, che ha scoperto il difetto di sicurezza, lo ha soprannominato ChaosDB e lo ha rivelato a Microsoft il 12 agosto 2021.

Il bug ha consentito agli aggressori di sfruttare una catena di bug nella funzionalità Jupyter Notebook, abilitata per impostazione predefinita e progettata per aiutare i clienti a visualizzare i dati.

Lo sfruttamento riuscito ha consentito loro di accedere alle credenziali Cosmos DB di altri utenti, inclusa la loro chiave primaria, che ha fornito loro l’accesso remoto completo e senza restrizioni ai database e agli account dei clienti Microsoft Azure.

“La vulnerabilità ha un banale exploit che non richiede alcun accesso precedente all’ambiente di destinazione e ha un impatto su migliaia di organizzazioni, incluse numerose aziende Fortune 500”

hanno affermato i ricercatori.

Microsoft ha disabilitato la funzionalità del punto di ingresso vulnerabile nelle 48 ore dalla ricezione del report e ha avvisato più del 30% dei clienti Cosmos DB di una potenziale violazione della sicurezza il 26 agosto, due settimane dopo aver disabilitato la funzionalità Jupyter Notebook difettosa.

Tuttavia, secondo il team di ricerca di Wiz, il numero effettivo di clienti interessati è probabilmente molto più grande in quanto include probabilmente la maggior parte dei clienti Cosmos DB, dato che la vulnerabilità ChaosDB era presente e avrebbe potuto essere sfruttata per mesi prima della sua divulgazione.

Per mitigare il rischio e bloccare potenziali attacchi, Microsoft consiglia ai clienti di Azure di rigenerare le chiavi primarie di Cosmos DB che potrebbero essere state rubate prima che la funzionalità vulnerabile fosse disabilitata.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.