ChaosDB : una clamorosa RCE con accesso anonimo su Microsoft Azure Cosmos DB.

Redazione RHC : 27 Agosto 2021 16:03

Microsoft ha avvertito migliaia di clienti Azure di una vulnerabilità critica, ora risolta, rilevata in Cosmos DB, la quale ha consentito a qualsiasi utente di assumere il controllo remoto dei database di altri utenti, fornendo loro l’accesso completo come amministratore senza richiedere l’autorizzazione.

Azure Cosmos DB è un servizio di database NoSQL distribuito a livello globale e completamente gestito da Microsoft, ed utilizzato da clienti di alto profilo, tra cui Mercedes Benz, Symantec, Coca-Cola, Exxon-Mobil e Citrix.

“Microsoft è recentemente venuta a conoscenza di una vulnerabilità in Azure Cosmos DB che potrebbe potenzialmente consentire a un utente di accedere alle risorse di un altro cliente utilizzando la chiave di lettura-scrittura primaria dell’account”

ha detto la società ai clienti, ma per fortuna sembra che tale bug non sia stato utilizzato da campagne di attacco attive.

“Non abbiamo alcuna indicazione che entità esterne al di fuori del ricercatore abbiano avuto accesso alla chiave di lettura-scrittura primaria associata agli account Azure Cosmos DB. Inoltre, non siamo a conoscenza di alcun accesso ai dati a causa di questa vulnerabilità”.

Il team di ricerca della società di sicurezza cloud Wiz, che ha scoperto il difetto di sicurezza, lo ha soprannominato ChaosDB e lo ha rivelato a Microsoft il 12 agosto 2021.

Il bug ha consentito agli aggressori di sfruttare una catena di bug nella funzionalità Jupyter Notebook, abilitata per impostazione predefinita e progettata per aiutare i clienti a visualizzare i dati.

Lo sfruttamento riuscito ha consentito loro di accedere alle credenziali Cosmos DB di altri utenti, inclusa la loro chiave primaria, che ha fornito loro l’accesso remoto completo e senza restrizioni ai database e agli account dei clienti Microsoft Azure.

“La vulnerabilità ha un banale exploit che non richiede alcun accesso precedente all’ambiente di destinazione e ha un impatto su migliaia di organizzazioni, incluse numerose aziende Fortune 500”

hanno affermato i ricercatori.

Microsoft ha disabilitato la funzionalità del punto di ingresso vulnerabile nelle 48 ore dalla ricezione del report e ha avvisato più del 30% dei clienti Cosmos DB di una potenziale violazione della sicurezza il 26 agosto, due settimane dopo aver disabilitato la funzionalità Jupyter Notebook difettosa.

Tuttavia, secondo il team di ricerca di Wiz, il numero effettivo di clienti interessati è probabilmente molto più grande in quanto include probabilmente la maggior parte dei clienti Cosmos DB, dato che la vulnerabilità ChaosDB era presente e avrebbe potuto essere sfruttata per mesi prima della sua divulgazione.

Per mitigare il rischio e bloccare potenziali attacchi, Microsoft consiglia ai clienti di Azure di rigenerare le chiavi primarie di Cosmos DB che potrebbero essere state rubate prima che la funzionalità vulnerabile fosse disabilitata.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli