近期,安全公司W(wǎng)iz發(fā)現(xiàn)了微軟云服務(wù)Azure的旗艦數(shù)據(jù)庫Cosmos存在超過2年的安全漏洞。
這個(gè)漏洞被稱為“ChaosDB”。利用它,網(wǎng)絡(luò)入侵者能夠讀取、刪除、修改存放在Azure上Cosmos數(shù)據(jù)庫的信息。
特別尷尬的是,在微軟Azure云服務(wù)器上配置Cosmos數(shù)據(jù)庫過程中,會默認(rèn)在“Jupiter Notebook”可視化特性啟用錯(cuò)誤的配置,而這個(gè)錯(cuò)誤的配置會導(dǎo)致攻擊者能夠訪問攻擊向量、觸發(fā)權(quán)限提升、破壞數(shù)據(jù)庫,并且能夠獲取對數(shù)據(jù)庫托管的主密鑰、以及存儲訪問令牌的訪問權(quán)限。
不過萬幸的是,目前沒有黑客利用這個(gè)漏洞發(fā)起攻擊。
微軟于8月12日知悉了這一漏洞,并在14日修復(fù)了該問題,目前正在緊急發(fā)送郵件通知客戶更換私鑰,以避免這個(gè)漏洞造成的影響。
據(jù)了解,受影響的客戶包括埃森克美孚、可口可樂、賽門鐵克、蔡司等國際知名公司,而且,連微軟自家的Skype、Xbox、Office等服務(wù)也被波及到了。