Wiz виявила критичну уразливість у хмарній базі даних Microsoft Azure CosmosDB

Американська компанія з кібербезпеки Wiz, яка належить Alphabet, виявила масштабну уразливість у хмарному сервісі керування базами даних Azure CosmosDB від корпорації Microsoft. 

 

Виявлений недолік, як зазначає Reuters, дозволяв потенційним зловмисникам віддалено отримати доступ до систем та даних будь-яких користувачів цієї бази даних.

 

Сервіс CosmosDB є одним із фундаментальних компонентів хмарної інфраструктури Microsoft Azure, який використовують тисячі компаній для збереження даних чат-ботів, вебдодатків та товарних рекомендаційних систем. Окрім того, Microsoft застосовує цю базу даних для забезпечення роботи власних ключових продуктів, зокрема корпоративного месенджера Teams та AI-асистента Copilot. За словами фахівців із безпеки, будь-який витік у CosmosDB створює ризики масового компрометування чутливої інформації бізнес-клієнтів.

 

Наразі виявлену уразливість повністю усунуто в результаті спільної роботи фахівців Wiz та інженерів Microsoft. У випущеній заяві представники Microsoft наголосили, що в результаті проведеного внутрішнього розслідування компанія не виявила жодних доказів того, що зловмисники встигли скористатися цією прогалиною або що це призвело до компрометації даних клієнтів. Експерти галузі Карл Фосаен (Karl Fosaaen) з NetSpi та Ваіша Бернард (Vaisha Bernard) з Eye Security підтвердили високий рівень критичності уразливості, зауваживши, що її своєчасне закриття запобігло масштабним збиткам.

 

«Коли ви будуєте свої системи у хмарі, і це хмара від Microsoft, ваші дані зазвичай розміщуються саме в CosmosDB», - зазначив технічний директор Wiz Амі Лутвак (Ami Luttwak). Це вже не перший подібний випадок у даному сервісі: у 2021 році дослідники Wiz також виявляли схожу уразливість у CosmosDB, що підкреслює необхідність безперервного аудиту центральних елементів хмарної інфраструктури провідних технологічних гігантів.

 

Повторне виявлення критичних уразливостей у центральних сервісах, таких як Azure CosmosDB, підсвічує ключову системну загрозу сучасної хмарної архітектури - монокультуру інфраструктури. Оскільки тисячі корпоративних клієнтів, сервісів електронної комерції та AI-систем (зокрема Copilot) покладаються на єдине сховище даних, одна критична помилка в коді гіперскейлера здатна створити каскадний ефект і відкрити шлях до масової компрометації даних по всьому світу. Своєчасне виявлення помилки фахівцями Wiz запобігло катастрофічним наслідкам, проте сам факт її існування посилює занепокоєння регуляторів щодо надійності хмарних монополій.