「Azure Cosmos DB」に深刻な脆弱性 - 利用者はリスク軽減を

今回の脆弱性について、マイクロソフトでは、報告を行った研究者以外が「Azure Cosmos DB」アカウントのプライマリキーを取得したり、脆弱性を悪用したアクセスは認識していないとしているが、予防措置を講じるよう利用者へアナウンスを行った。

脆弱性を報告したWizにおいても悪用を認知していないが、マイクロソフトでは利用者の3割以上にあたる約数千の顧客に対して、侵害の可能性が潜在することを通知したという。

今回の通知は約1週間の調査で判明した利用者に限られ、数カ月間にわたり脆弱性が悪用できる状態が続いていたことを踏まえると、より多くの利用者が影響を受けている可能性もあると指摘。

「Jupyter Notebook」はデフォルトで有効となっており、同機能を利用しておらず、同社より通知を受けていない場合も、プライマリキーを再生成するなどガイダンスにしたがって対策を実施し、過去のアクティビティなども確認することを推奨している。

今回の問題を受けて、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）も注意喚起を実施。利用者に対し、マイクロソフトによるガイダンスを参照して対策を講じるよう呼びかけている。

（Security NEXT - 2021/08/30 ）ツイート