Vulnerabilidad en Microsoft Azure dejó expuestas miles de bases de datos cloud de Cosmos DB

Expertos de la empresa de ciberseguridad Wiz han descubierto una vulnerabilidad en Microsoft Azure que ha dejado a miles de clientes del servicio cloud de Microsoft susceptibles a sufrir ciberataques, y ha hecho que los clientes de su servicio de base de datos cloud Cosmos DB tuviesen sus bases de datos al descubierto. La vulnerabilidad, a la que en Wiz han llamado ChaosDB, permitía acceso completo y sin restricciones a las cuentas de usuarios de Cosmos DB y a sus bases de datos.

Los clientes de Microsoft Azure utilizan Cosmos DB para gestionar los datos que recopilan en tiempo real. Y según la compañía descubridora de la vulnerabilidad, llevan bastante tiempo con ellas expuestas. La vulnerabilidad tiene su origen en varios fallos en la función de Cosmos DB conocida como Jupyter Notebook, que ofrece a los clientes de Azure un sistema para visualizar sus datos. La función ya estaba disponible desde 2019, pero desde el pasado mes de febrero estaba activada para todos los clientes de Cosmos DB.

Según Wiz, un conjunto de fallos de configuración en Jupyter Notebook crearon un agujero que permitía a cualquier usuario «descargar, borrar o manipular una cantidad masiva de bases de datos de empresas, así como acceso de lectura y escritura a la arquitectura de Cosmos DB«. Cuando lo descubrieron, desde Wiz avisaron a Microsoft, que 48 horas después ya había deshabilitado el origen del problema.

Desde Microsoft ya han comunicado el problema aproximadamente al 30% de los clientes de Azure. En concreto, a los que estaban afectados durante la semana que Wiz estuvo investigando el incidente, a principios de agosto. Pero Wiz apunta que pueden ser más, ya que creen que la vulnerabilidad ha sido explotable desde hace varios meses, y puede que hasta años.

Por tanto, su consejo para los clientes de Microsoft Azure que emplean esta herramienta es que cambien y regeneren sus claves de acceso si usan Cosmos DB en Azure aunque no hayan recibido un correo electrónico de Microsoft. Eso sí, desde Wiz aseguran que no hay evidencias de que hayan explotado el fallo de seguridad.