Thought Leadership
Eine Schwachstellenkette in Azure Cosmos DB hätte Angreifern Lese- und Schreibzugriff auf Datenbanken des Cloud-Dienstes verschaffen können.
Ausgangspunkt der als CosmosEscape bezeichneten Angriffskette war die Graphdatenbank-Abfragesprache Gremlin, eine von mehreren Schnittstellen von Azure Cosmos DB. Bei Tests mit Gremlin-Abfragen stießen die Wiz-Forscher auf ungewöhnliche .NET-Fehlermeldungen, ein Hinweis darauf, dass Cosmos DB Gremlin-Abfragen intern in eigenen .NET-Code übersetzt und in einer eingeschränkten Umgebung ausführt.
Die dafür vorgesehenen Beschränkungen berücksichtigten sogenannte .NET-Reflection-Techniken jedoch nicht ausreichend, wodurch die Forscher Datei-Lese- und Schreibzugriffe sowie letztlich die Ausführung beliebigen Codes über eigene Datenbankabfragen erreichen konnten. Voraussetzung für den Angriff war laut Wiz lediglich ein gewöhnliches, in wenigen Minuten selbst erstelltes Azure-Konto mit einer eigenen Cosmos-DB-Gremlin-Datenbank, keine besonderen Berechtigungen oder ein vorheriger Zugriff auf fremde Systeme.
Ein Schlüssel für die gesamte Azure-Plattform
Über diesen Ausbruch erlangten die Forscher Codeausführung auf dem sogenannten DB Gateway, einem Dienst, der Kundenabfragen auf gemeinsam genutzten Service-Fabric-Clustern ausführt. Dort fanden sie Zugangsdaten zu einem Signaturschlüssel, den Wiz als Cosmos Master Key bezeichnet. Dieser Schlüssel war nicht auf ein einzelnes Kundenkonto beschränkt, sondern funktionierte plattformweit über sämtliche Mandanten, Regionen und unterstützten API-Varianten wie SQL, MongoDB, Cassandra und Gremlin hinweg und konnte über öffentlich erreichbare Endpunkte den Primärschlüssel eines beliebigen Cosmos-DB-Kontos abrufen.
Zusätzlich gewährte der Master Key Zugriff auf den sogenannten Config Store, ein regionales Verzeichnis sämtlicher Cosmos-DB-Konten mit Kontonamen, Abonnement- und Mandanten-IDs sowie Netzwerkeinstellungen. Da der Config Store selbst als Cosmos-DB-Datenbank abfragbar war, ließen sich damit gezielt alle Konten einer Region auflisten oder nach einer bestimmten Organisation filtern. In Kombination hätten Angreifer so gezielt die Datenbanken einer bestimmten Organisation identifizieren und anschließend über den Master Key vollständig übernehmen können, selbst bei eigentlich privaten und netzwerkisolierten Konten.
Schnelle Erstreaktion, monatelange Architekturüberarbeitung
Wiz meldete die Schwachstelle am 20. November 2025 an Microsoft. Bereits zwei Tage später, am 22. November, spielte Microsoft einen Hotfix ein, der den betroffenen Einstiegspunkt in der Gremlin-API blockierte. Die vollständige, tiefgreifendere Überarbeitung der Architektur schloss Microsoft nach eigenen Angaben im Juli 2026 über alle Azure-Regionen hinweg ab, wobei der plattformweite Master Key vollständig entfernt wurde. Zusätzlich verstärkte Microsoft die Authentifizierung zwischen einzelnen Diensten und führte weitere Netzwerkschutzmaßnahmen sowie zusätzliche Überwachungs- und Erkennungsfunktionen ein.
Microsoft erklärte, im Rahmen einer umfassenden Prüfung von Zugriffsprotokollen keine Hinweise auf eine unautorisierte Nutzung der Schwachstelle außerhalb der Testaktivitäten der Forscher gefunden zu haben. Kundendaten seien nicht betroffen gewesen, weiterer Handlungsbedarf für Kunden bestehe nicht. CosmosEscape ist nicht die erste von Wiz entdeckte Schwachstelle in Azure Cosmos DB: Bereits 2021 hatte das Unternehmen mit ChaosDB eine andere, über die Jupyter-Notebook-Funktion des Dienstes ausnutzbare Schwachstelle offengelegt.
(red)
