MicrosoftはWizが発見したクラウドデータベースのバグ修正に8か月を費やしました。
Microsoftは、大惨事を辛くも回避していました。あるセキュリティ企業が、顧客のものだけでなくMicrosoft自身のものも含め、すべてのAzure Cosmos DBデータベースを危険にさらしかねない重大な脆弱性を発見していたのです。
Google傘下のWizは、通常はプロパティグラフデータの保存・管理に使われるデータベースのGremlin APIに欠陥を発見しました。
もし悪意のある攻撃者が先にこれを発見していれば、悪用してWizが「Cosmos Master Key」と呼ぶものを取得できた可能性があります。これを使えば、任意のCosmosデータベースのプライマリキーを利用でき、結果としてあらゆるアカウントへの読み書きアクセスが可能になっていたはずです。さらに、サブスクリプションIDやテナントIDといった識別子とともに、同サービス上のすべてのデータベースの一覧にもアクセスできてしまう状態でした。
Azure Cosmos DBは、Microsoftのクラウドサービスを支えるNoSQLデータベースです。Python、Node.js、Java、.NETなど各種フレームワーク向けのSDKを通じてアクセスできます。
Wizはブログ記事で、この脆弱性をどのように発見したかを説明しています。同社は2025年11月にこの欠陥の詳細をMicrosoftに開示しました。
Microsoftは2日以内に緊急パッチを展開しましたが、Cosmos Master Keyを廃止し、同様の攻撃を防ぐための新たな防御策をCosmos DBに導入するインフラの再設計には、さらに8か月を要しました。
ソース: csoonline.com
