Miles de clientes de Microsoft Azure vulnerables a violaciones de seguridad en Cosmos DB

Azure Cosmos DB, un tipo de base de datos NoSQL global distribuida desarrollada por Microsoft, contiene una vulnerabilidad significativa, Wiz, una empresa israelí que se especializa en encontrar vulnerabilidades en la nube pública, informa en Entrada en el blog Publicado el 26 de agosto de 2021.

El problema se corrigió de inmediato, como prometió Microsoft, que envió un correo electrónico para advertir a sus clientes que la falla no parecía haber sido explotada. La compañía estadounidense pagó a Wiz $ 40,000 (aproximadamente $ 34,000) para encontrar e informar el error.

Asus, Coca-Cola, Siemens, Symantec …
La vulnerabilidad, denominada «Chaos DB», fue descubierta hace dos semanas, pero Wiz, cuyo equipo técnico está dirigido por un exjefe de seguridad de Microsoft, afirma que ha estado escondida en el sistema durante «al menos varios meses o incluso años». Habría permitido a los ciberdelincuentes robar datos de «varios miles» de empresas que utilizan Cosmos DB, como Coca Cola, Asus, Siemens Curadores, Symantec, Bentley, Skype, ExxonMobil, Finastra …

En detalle, fue la configuración incorrecta de la función de código abierto «Jupyter Notebook», que Microsoft agregó en Cosmos DB en 2019, lo que está causando preocupación. Los cuadernos de Jupyter son un tipo de cuaderno que permite a los desarrolladores compartir código y ejecutarlo en la misma interfaz de usuario.

La brecha de seguridad presentó muchas posibilidades para los actores malintencionados, que podrían acceder fácilmente a las claves principales de los usuarios de Cosmos DB. Estos otorgan permisos de lectura, escritura y eliminación en toda la base de datos a la que se adjunta la clave.

Se ha alertado al 30% de los clientes
Entonces, Microsoft invitó al 30% de los usuarios de Cosmos DB, o 3000 clientes, a cambiar sus claves que, lo más importante, no tienen fecha de vencimiento. Estos son los clientes que activaron la función Jupyter Notebook en la semana en que Wiz descubrió la brecha de seguridad. Esto no es suficiente, según la compañía israelí, porque «todas las cuentas de Cosmos DB que utilizan la funcionalidad Jupyter Notebook, o que se crearon después de enero de 2021, están en riesgo».

De hecho, a partir de febrero, esta función está habilitada de forma predeterminada para cada cuenta de Cosmos DB recién creada. Por lo tanto, es posible que la clave principal estuviera expuesta incluso si el cliente no estaba al tanto y nunca usó la función.

Este nuevo incidente de seguridad se produce unos meses después del problema de Microsoft Exchange. Un grupo de piratas informáticos llamado Hafnium se centró en este mensajero que utilizan muchas organizaciones y empresas de todo el mundo. Este ciberataque afectó, por ejemplo, a la Agencia Bancaria Europea (EBA), responsable de la estabilidad financiera dentro de la Unión Europea.