// HEISE ONLINE — INTELLIGENZA ARTIFICIALE
„CosmosEscape“ ermöglichte Übernahme aller Microsoft-Azure-Datenbanken
Eine Verkettung von Sicherheitslücken ermöglichte vollen Zugang zu allen Azure-Cosmos-DB-Datenbanken.
Bei der Cosmos-DB von Microsoft handelt es sich um eine NoSQL-Datenbank in der Azure-Cloud. Microsoft nutzt die selbst etwa für Dienste wie Entra ID, Teams oder Copilot. IT-Forscher haben Schwachstellen entdeckt, durch die alle diese Datenbanken potenziell zugreifbar waren.
Das erklärt das IT-Sicherheitsunternehmen Wiz in einem Blogbeitrag. Vorweg gibt es die Entwarnung: Microsoft hat das Problem bereits vollständig beseitigt, einschließlich des Cosmos-Masterkeys. Außerdem haben die Entwickler neue Sicherheitsmaßnahmen eingeführt, um ähnliche Angriffe zu unterbinden. Kunden müssen dazu nichts weiter unternehmen.
Die IT-Forscher haben Abfragen mittels der API für Gremlin genauer untersucht. Dabei stießen sie auf Ausnahmemeldungen (.NET Exceptions). Gremlin-Server kompilieren Anfragen demnach oftmals in ausführbaren Code, der in einer abgeschotteten Umgebung (Sandbox) läuft – und die halten oftmals nicht sonderlich gut. So auch in diesem Fall. Es gelang den IT-Forschern, Lese- und Schreibzugriffe zu erlangen und schließlich sogar, eigenen Code auf dem Cloud-Server auszuführen. Von dort aus erlangten sie die Möglichkeit, Code auf dem DB-Gateway auszuführen, einem Dienst, der Kundenanfragen in deren Namen ausführt und auf Service-Fabric-Clustern mit mehreren Kunden läuft. Dort lagen jedoch keine Datenbanken anderer Kunden herum. Der Zugriff auf deren Cosmos-DBs erfolgt mit dem Primary Key des jeweiligen Kunden.
An diesen Key gelangt das DB-Gateway über einen Schlüssel, der jedoch nicht an einen einzelnen Account gebunden ist. Der Key funktioniert über Tenants, Regionen und sogar unterschiedliche APIs hinweg, etwa SQL, MongoDB, Cassandra und Gremlin. Es handelt sich somit um einen plattformweit gültigen Key, mit dem sich die Primary Keys zu jeder Cosmos-DB erlangen lassen – durch öffentlich zugreifbare Endpunkte. Wiz nennt ihn daher den „Cosmos Master Key“.
Damit war außerdem der Zugriff auf den sogenannten Config Store möglich. Dabei handelt es sich um eine regionale Registry mit allen Cosmos-DB-Konten, sie umfasst Kontonamen, Subscription-IDs, Tenant-IDs, Netzwerkeinstellungen und mehr. Das DB-Gateway holt sich von dort Informationen zu den Kontoeinstellungen, etwa welche IP-Adressen auf Datenbanken zugreifen dürfen. Der Config Store ist ebenfalls eine Cosmos-DB, womit sich der Master Key auslesen ließ, womit sich alle Konten in einer Region auflisten ließen. Es sind nicht nur Kunden-Datenbanken betroffen gewesen, sondern auch die Datenbanken hinter grundlegenden Microsoft-Diensten.
Microsoft hat sich im Rahmen des Responsible-Disclosure-Prozesses bereits zur Lücke geäußert. Das Unternehmen hat keine Hinweise auf unbefugte Aktivitäten abseits derer der IT-Forscher in Log-Dateien gefunden. Bemerkenswert ist der Zeitrahmen zum vollständigen Fix: Am 20. November 2025 hat Wiz Microsoft informiert. Das Unternehmen reagierte am 22. November bereits mit dem Hotfix und hat angefangen, an langfristigen Architekturänderungen zu arbeiten. Es hat nun jedoch bis zum Juli 2026 gedauert, dass der Langzeit-Fix über alle Regionen hinweg verteilt wurde.
Die Schwachstelle weckt Erinnerungen daran, dass Microsoft im Sommer 2023 sich den Masterkey zur Azure-Cloud hat stehlen lassen. Damit war das komplette Azure-Cloud-System kompromittierbar.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.