Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Azure Cosmos DB」に深刻な脆弱性 - 利用者はリスク軽減を

マイクロソフトのクラウドサービス「Azure」で提供されているNoSQLデータベース「Azure Cosmos DB」に、アクセス権を第三者に取得される脆弱性が明らかとなった。

脆弱性はすでに修正済みで悪用も確認されていないが、プライマリキーを取得されていた場合、引き続き侵害されるおそれがあるため、利用者に対してリスク軽減策の実施が呼びかけられている。

「Azure Cosmos DB」は、クラウドで利用できる非リレーショナル形式のデータベース。同データベースにおいて無関係である別の利用者が資格情報を取得し、データベースのインスタンスに対し、アクセスが可能となる脆弱性が判明したもの。

同データベースへ統合されている開発環境「Jupyter Notebook」の機能を通じ、脆弱性を悪用してプライマリキーを取得でき、最終的にはデータベースアカウントに保存されているすべてのデータの管理者権限を得て、リモートよりデータベースの読み取り、書き込み、削除などが可能だった。

Wizの研究者が発見し、8月9日に脆弱性の影響を確認。8月12日にマイクロソフトに報告した。マイクロソフトでは、報告を受けてから48時間以内に原因となった機能を無効化し、脆弱性を修正したという。

Wizでは同脆弱性を「ChaosDB」と命名。技術的な詳細についてはマイクロソフトからの要請を踏まえて公表しておらず、今後発表するとしている。またマイクロソフトより報奨金4万ドルが贈られた。

20210830_wi_001.jpg
脆弱性「ChaosDB」においてアクセス権限が取得される流れ(画像:Wiz)

(Security NEXT - 2021/08/30 ) このエントリーをはてなブックマークに追加

PR

関連記事

DB管理ツール「phpMyAdmin」にアップデート - 脆弱性など解消
「McAfee Enterprise」のWindows向けエージェントに複数の脆弱性
「Microsoft Edge 97.0.1072.69」がリリースに - 一部独自修正も
「Drupal」に複数脆弱性 - サードパーティ製ライブラリに起因
F5がセキュリティアップデート - 脆弱性25件を修正
「Adobe Acrobat/Reader」のアップデートが公開 - 26件の脆弱性を解消
Google、深刻な脆弱性に対処した「Chrome 97.0.4692.99」をリリース
Oracle、四半期定例パッチをリリース - 約500件の脆弱性に対応
PHP向けメールフォームプログラムに脆弱性 - 昨年の更新で修正済み
「Java SE」に18件の脆弱性 - 定例パッチで修正