Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Azure Cosmos DB」に深刻な脆弱性 - 利用者はリスク軽減を

マイクロソフトのクラウドサービス「Azure」で提供されているNoSQLデータベース「Azure Cosmos DB」に、アクセス権を第三者に取得される脆弱性が明らかとなった。

脆弱性はすでに修正済みで悪用も確認されていないが、プライマリキーを取得されていた場合、引き続き侵害されるおそれがあるため、利用者に対してリスク軽減策の実施が呼びかけられている。

「Azure Cosmos DB」は、クラウドで利用できる非リレーショナル形式のデータベース。同データベースにおいて無関係である別の利用者が資格情報を取得し、データベースのインスタンスに対し、アクセスが可能となる脆弱性が判明したもの。

同データベースへ統合されている開発環境「Jupyter Notebook」の機能を通じ、脆弱性を悪用してプライマリキーを取得でき、最終的にはデータベースアカウントに保存されているすべてのデータの管理者権限を得て、リモートよりデータベースの読み取り、書き込み、削除などが可能だった。

Wizの研究者が発見し、8月9日に脆弱性の影響を確認。8月12日にマイクロソフトに報告した。マイクロソフトでは、報告を受けてから48時間以内に原因となった機能を無効化し、脆弱性を修正したという。

Wizでは同脆弱性を「ChaosDB」と命名。技術的な詳細についてはマイクロソフトからの要請を踏まえて公表しておらず、今後発表するとしている。またマイクロソフトより報奨金4万ドルが贈られた。

20210830_wi_001.jpg
脆弱性「ChaosDB」においてアクセス権限が取得される流れ(画像:Wiz)

(Security NEXT - 2021/08/30 ) このエントリーをはてなブックマークに追加

PR

関連記事

Apple、「Security Update 2021-006 Catalina」が公開 - エクスプロイト報告がある脆弱性に対処
Apple、旧端末向けにゼロデイ脆弱性を修正した「iOS 12.5.5」を公開
PHPのアップデートが公開 - 複数の脆弱性を解消
PHPにアップデート、セキュリティリリースの位置づけ
ADパスワード管理ツールの脆弱性、APT攻撃で悪用 - 米当局が注意喚起
Apple、「iOS 15」「iPadOS 15」をリリース - 脆弱性22件を修正
Windowsのゼロデイ脆弱性、開発会社狙う攻撃で発見 - 検体公開後は試行増加
EC-CUBE用プラグイン「注文ステータス一括変更プラグイン」に脆弱性 - 利用中止を
CMSの「Drupal」に5件の脆弱性 - アップデートがリリース
「Apache Tomcat」にDoS攻撃受けるおそれ - 3月の更新で修正済み