Microsoft Azure 클라우드 취약점은 ‘상상할 수 있는 최악’입니다.

Microsoft는 여러 Fortune 500대 기업을 포함하여 수천 명의 Azure 클라우드 컴퓨팅 고객에게 지난 2년 동안 데이터가 완전히 노출된 취약점에 대해 경고했습니다.

Microsoft의 Azure Cosmos DB 제품의 결함으로 인해 3,300개 이상의 Azure 클라이언트가 공격자의 무제한 액세스를 완료할 수 있습니다. 이 취약점은 Microsoft가 Jupyter Notebook이라는 데이터 시각화 기능을 Cosmos DB에 추가한 2019년에 도입되었습니다. 이 기능은 2021년 2월 모든 Cosmos 데이터베이스에 대해 기본적으로 켜져 있습니다.

NS Azure Cosmos DB 클라이언트 목록 여기에는 Coca Cola, Liberty Mutual Insurance, ExxonMobil 및 Walgreens와 같은 회사가 포함됩니다.

보안 회사 Wiz의 CTO인 Amy Luttwak은 문제를 찾아. “이것은 Azure의 중앙 데이터베이스이며 우리가 원하는 모든 고객 데이터베이스에 액세스할 수 있었습니다.”

제시된 심각성과 위험에도 불구하고 Microsoft는 데이터에 대한 불법적인 액세스로 이어지는 취약점의 증거를 발견하지 못했습니다. “이 기술이 악의적인 행위자들에 의해 악용되고 있다는 증거는 없습니다.” 마이크로소프트가 말했다 블룸버그 이메일 명세서에서. “우리는 이 취약점으로 인해 액세스되는 고객 데이터에 대해 알지 못합니다.” 마이크로소프트는 이 발견을 위해 Wiz에 $40,000를 지불했다고 한다. 로이터.

안에 자세한 블로그 게시물Wise는 Jupyter Notebook이 도입한 취약점으로 인해 회사 연구원이 Microsoft 클라이언트용 Cosmos DB 데이터베이스를 보호하는 기본 키에 액세스할 수 있다고 말했습니다. 이 키를 사용하여 Wiz는 수천 개의 Microsoft Azure 클라이언트 데이터에 대한 전체 읽기/쓰기/삭제 액세스 권한을 가졌습니다.

Wiz는 2주 전에 문제를 발견했으며 Microsoft는 Wiz가 보고한 후 48시간 이내에 취약점을 비활성화했다고 말했습니다. 그러나 Microsoft는 고객의 기본 액세스 키를 변경할 수 없기 때문에 노출을 완화하기 위해 Cosmos DB 고객에게 수동으로 키를 변경하도록 이메일을 보냈습니다.

오늘의 문제는 Microsoft의 최신 보안 악몽입니다. 회사는 일부 SolarWinds 해커가 훔친 소스 코드 12월 말, Exchange 이메일 서버가 해킹되었습니다. 그리고 랜섬웨어 공격에 연루 지난 3월에는 프린터 결함 공격자는 시스템 전체 권한으로 컴퓨터를 인수할 수 있었습니다. 그러나 전 세계의 데이터가 점점 더 Azure와 같은 중앙 집중식 클라우드 서비스로 이동함에 따라 오늘날의 공개는 Microsoft에 있어 가장 우려스러운 발전일 수 있습니다.