Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Azure Cosmos DB」に深刻な脆弱性 - 利用者はリスク軽減を

マイクロソフトのクラウドサービス「Azure」で提供されているNoSQLデータベース「Azure Cosmos DB」に、アクセス権を第三者に取得される脆弱性が明らかとなった。

脆弱性はすでに修正済みで悪用も確認されていないが、プライマリキーを取得されていた場合、引き続き侵害されるおそれがあるため、利用者に対してリスク軽減策の実施が呼びかけられている。

「Azure Cosmos DB」は、クラウドで利用できる非リレーショナル形式のデータベース。同データベースにおいて無関係である別の利用者が資格情報を取得し、データベースのインスタンスに対し、アクセスが可能となる脆弱性が判明したもの。

同データベースへ統合されている開発環境「Jupyter Notebook」の機能を通じ、脆弱性を悪用してプライマリキーを取得でき、最終的にはデータベースアカウントに保存されているすべてのデータの管理者権限を得て、リモートよりデータベースの読み取り、書き込み、削除などが可能だった。

Wizの研究者が発見し、8月9日に脆弱性の影響を確認。8月12日にマイクロソフトに報告した。マイクロソフトでは、報告を受けてから48時間以内に原因となった機能を無効化し、脆弱性を修正したという。

Wizでは同脆弱性を「ChaosDB」と命名。技術的な詳細についてはマイクロソフトからの要請を踏まえて公表しておらず、今後発表するとしている。またマイクロソフトより報奨金4万ドルが贈られた。

20210830_wi_001.jpg
脆弱性「ChaosDB」においてアクセス権限が取得される流れ(画像:Wiz)

(Security NEXT - 2021/08/30 ) このエントリーをはてなブックマークに追加

PR

関連記事

カスペルスキーのVPN製品に権限昇格の脆弱性
「Apache CloudStack」のSAML認証プラグインに深刻な脆弱性
F5、8月のセキュリティパッチを公開 - 「BIG-IP」などの脆弱性に対処
スモールビジネス向けCisco製ルータに深刻な脆弱性 - 遠隔よりコードを実行されるおそれ
「Cloudflare Zero Trust」にセキュリティ機能バイパスのおそれ
機密情報管理のHashiCorp製「Vault」に脆弱性 - データ消失のおそれ
Google、「Chrome 104」をリリース - セキュリティに関する27件の修正を実施
VMwareのID管理製品に再び深刻な脆弱性 - 早急に更新の実施を
「GnuTLS」に脆弱性 - アップデートがリリース
ニンテンドーのWi-Fiアダプタに2件の脆弱性 - 利用中止を