Minden idők egyik legsúlyosabb felhőszolgáltatásos sebezhetőségét vallotta be a Microsoft. Az Azure Cosmos adatbázis-szolgáltatásának egyik komponensében megbújt hibát kihasználva a hackerek 3300 ügyfél összes tárolt adatához hozzáférhettek volna, beleértve olyan cégeket, mint a Bentley vagy a Coca Cola.
A sérülékenység a 2019-ben elérhetővé vált Jupyter Notebook adatvizualizációs eszközben lapult, a komponenst idén februárban aktiválta alapértelmezetten az összes Cosmos adatbázisban a Microsoft.
Ettől függetlenül a sebezhetőséggel az olyan ügyfelek adatbázisaihoz is hozzáférhettek volna a támadók, akik soha nem aktiválták a Jupyter Notebookot, továbbá letiltották az idei automatikus bekapcsolását.
A Microsoft szerint nincs rá bizonyíték, hogy a Wiz biztonsági cég által két hete jelentett hibát valaha kihasználták volna rosszindulatú támadók, a bejelentését követően 48 órán belül megszüntette a biztonsági rést.
A Microsoft 40 ezer dollár jutalmat adott a biztonsági cégnek, hogy észrevették és jelentették a hibát, továbbá több ezer felhasználójuknak írtak emailt, hogy változtassák meg kódjaikat.
A Microsoft az ügyfeleinek küldött emailben azt írja, hogy nincs bizonyíték arra, hogy a hibát bárki valóban rosszhiszeműen kihasználta volna. „Nincs bizonyíték arra, hogy a kutatócsapaton kívül más is hozzáférhetett az adatokhoz” – áll az emailben.
Ettől függetlenül jobb félni, mint megijedni alapon azt javasolja az ügyfeleknek, hogy inkább cseréljék le a Cosmos adatbázisaik elsődleges kulcsait.
Forrás: https://www.origo.hu/techbazis/20210827-microsoft-azure-hac k-chaosdb.html?utm_source=hirkereso&utm_medium=referral& utm_campaign=hiraggregator