【概要】
| 項目 |
内容 |
|---|---|
| 脆弱性の名称 | ChaosDB |
| CVE番号 | |
| 対象 | Azure の Cosmos DB (NoSQL DB) |
| 対象ユーザー | 数千社にのぼる Azure ユーザー(メールで通知済み) |
| 脆弱性の発見日 | 2021年8月9日 |
| 脆弱性の通知日 | 2021年8月12日 |
| 脆弱性の公表日 | 2021年8月26日 |
| 脆弱性の概要 | データベースを管理するキーにアクセス可能 |
| 脆弱性の詳細内容 | 任意のAzureユーザーが、他の顧客のCosmos DBインスタンスに対して無許可で完全な管理者アクセス（読み取り、書き込み、削除）を行うことができる |
| 被害の可能性 | すべてのデータが閲覧・修正・削除される可能性があった |
| 攻撃方法 | Cosmos DBのJupyter Notebookに存在する簡単な脆弱性の連鎖を利用 Jupyter Notebookが多くのアクセス件を持つことが原因 Jupyter Notebookにアクセスし、データベースのPrimary Keyを含むCosmos DBアカウントの認証情報を取得することが可能 |
| アクセス履歴 | 発見者以外のアクセスは無い(Microsoft の主張) |
| 悪用実績 | なし |
| 対処方法 | 読み書き可能なCosmos DBのプライマリキーを再生成し、ローテーションする |
| 対処状況 | 脆弱性はMicrosoftが修正済み 各ユーザーが鍵を更新する必要あり |
| 報奨金 | 脆弱性を発見したWiz社に対して、４万ドルを支払うことで同意 |
【ニュース】
◆米マイクロソフト、クラウドのデータベースに脆弱性 数千社に通知 (ロイター, 2021/08/27 10:17)
https://jp.reuters.com/article/microsoft-security-idJPKBN2FS035
⇒ https://vul.hatenadiary.com/entry/2021/08/27/000000
◆Azure Cosmos DB alert: This critical vulnerability puts users at risk (ZDNet, 2021/08/27 16:18)
[Azure Cosmos DBアラート：この重大な脆弱性によりユーザーが危険にさらされる]Cosmos DB is in serious trouble thanks to ChaosDB, a critical vulnerability in the Azure cloud database. It enables anyone to take remote control of your databases. Fortunately, there is a fix.
[Cosmos DBは、Azureクラウドデータベースの重大な脆弱性であるChaosDBのおかげで深刻な問題に直面しています。これにより、誰でもデータベースを遠隔操作できるようになります。幸いなことに、修正方法があります]https://www.zdnet.com/article/azure-cosmos-db-alert-critical-vulnerability-puts-users-at-risk/
⇒ https://vul.hatenadiary.com/entry/2021/08/27/000000_2
◆Critical Cosmos Database Flaw Affected Thousands of Microsoft Azure Customers (The Hacker News, 2021/08/27)
[データベース「Cosmos」の重大な欠陥により、数千人のMicrosoft Azureのお客様が影響を受ける]
https://thehackernews.com/2021/08/critical-cosmos-database-flaw-affected.html
⇒ https://vul.hatenadiary.com/entry/2021/08/27/000000_1
◆「Azure Cosmos DB」に深刻な脆弱性 - 利用者はリスク軽減を (Security NEXT, 2021/08/30)
https://www.security-next.com/129400
⇒ https://vul.hatenadiary.com/entry/2021/08/30/000000
【ブログ】
◆ChaosDB: How we hacked thousands of Azure customers’ databases (Wiz, 2021/08/26)
[ChaosDB: 数千ものAzure顧客のデータベースをどのようにハッキングしたか]
https://www.wiz.io/blog/chaosdb-how-we-hacked-thousands-of-azure-customers-databases
⇒ https://vul.hatenadiary.com/entry/2021/08/26/000000_1
【関連まとめ記事】
