In Microsofts Azure Cosmos DB klaffte eine schwere Sicherheitslücke, über die sich theoretisch sämtliche Datenbanken des Dienstes übernehmen liessen. Entdeckt wurde sie vom
Sicherheitsunternehmen Wiz, das die Lücke "CosmosEscape" taufte. Auch die internen Datenbanken von Microsoft-Diensten wie Entra ID, Teams und Copilot hätten über das Leck erreicht werden können.
Der Fehler fand sich in der Gremlin-Schnittstelle, über die sich miteinander verknüpfte Daten abfragen lassen. Den Forschern gelang es, die Schutzmechanismen zu umgehen und eigenen Programmcode auf einem Server des Datenbankdienstes auszuführen. Dort stiessen sie auf einen dienstweiten Schlüssel, den sie "Cosmos Master Key" nannten. Mit diesem liess sich für jedes beliebige Cosmos-DB-Konto der Hauptschlüssel abrufen, der vollen Lese- und Schreibzugriff gewährt.
Mit dem Masterkey hätte sich zudem ein internes Verzeichnis aller Cosmos-DB-Konten auslesen lassen. Darin befanden sich laut den Forschern unter anderem die Namen der Konten, Angaben zu den zugehörigen Unternehmen und Netzwerkeinstellungen. Angreifer hätten so gezielt nach den Datenbanken eines bestimmten Unternehmens suchen und anschliessend darauf zugreifen können. Auch private Datenbanken, die nicht über das öffentliche Internet erreichbar waren, hätten sich laut Wiz über die Lücke übernehmen lassen.
Die Forscher meldeten die Schwachstelle am 20. November 2025 an
Microsoft. Zwei Tage später spielte der Konzern eine erste Korrektur ein. Die Arbeiten an einer stärker abgesicherten Architektur wurden im Juli 2026 in allen Regionen abgeschlossen. Microsoft erklärt in einer von Wiz veröffentlichten Stellungnahme, man habe in den Zugriffsprotokollen keine Hinweise darauf gefunden, dass die Schwachstelle ausserhalb der Tests der Forscher ausgenutzt wurde. Kundendaten seien nicht eingesehen worden, für Kunden bestehe kein Handlungsbedarf.
(dow)
