Azure Cosmos DB : porte ouverte sur les données des clients

Cosmos DB ChaosDB

Une élévation de privilèges au niveau des notebooks Jupyter a potentiellement exposé les données des clients Azure Cosmos DB.

Vous utilisez Azure Cosmos DB ? Peut-être avez-vous reçu, ces dernières heures, un mail d’avertissement de la part de Microsoft. Avec une invitation à modifier la clé primaire de chacun de vos comptes.

Cette alerte fait suite à la correction d’une faille de sécurité critique. Elle ouvrait la voie au vol des clés en question, entre autres secrets. À partir de là, un compte Azure suffisait à prendre le contrôle des bases de données associées.

La vulnérabilité trouve sa source en 2019, au moment où Microsoft introduit, dans Cosmos DB, les notebooks Jupyter. Ces derniers sont activés par défaut sur toutes les instances depuis février dernier.

schéma faille ChaosDB
La faille met en jeu une élévation de privilèges. À la demande de Microsoft, le rapport technique complet n’est pas encore publié.

Les chercheurs à l’origine de la découverte ont reçu la récompense maximale dans le cadre du bug bounty d’Azure. Soit 40 000 $.

timeline Cosmos DB

Du côté de Microsoft, on affirme ne pas avoir de preuve d'exploitation de la faille - hormis par les chercheurs. L'enjeu est grand au vu des références que Cosmos DB compte dans sa clientèle.

Illustration principale © niroworld - Adobe Stock