Alerta de Segurança: Microsoft Quase Expondo Chaves de Acesso do Azure Cosmos DB

A vulnerabilidade, encontrada pela Wiz na API Gremlin do Azure Cosmos DB, revelou um risco grande de segurança. Essa falha permitiria a atacantes obter a "Cosmos Master Key". Com ela, seria possível ter acesso de leitura e escrita a qualquer banco de dados Cosmos DB, além de ver uma lista de todos os bancos de dados do serviço, com IDs de assinatura e de tenant. Para arquitetos e engenheiros de dados, isso sublinha a importância crítica de gerenciar segredos e credenciais, mesmo em serviços gerenciados.

O Azure Cosmos DB, um banco de dados NoSQL fundamental para os serviços de nuvem da Microsoft, permite acesso via SDKs em linguagens como Python, Node.js, Java e .NET. A exposição da chave mestra do Cosmos DB via API Gremlin, usada para dados de grafo, expõe uma falha na gestão de acesso que afeta toda a arquitetura de segurança. Isso acende um alerta sobre a confiança cega em provedores de nuvem para a segurança intrínseca de componentes críticos.

A notícia de hoje aprofunda o alerta que o CEVIU já havia dado em 31 de julho de 2026, na matéria "Vulnerabilidade Crítica no Azure Cosmos DB Permitiria Acesso Global a Dados". Naquele momento, a Wiz revelou a falha "CosmosEscape", que possibilitava execução remota de código (RCE) no DB Gateway, contornando o sandbox Gremlin via reflexão .NET. Agora, temos a confirmação de que essa mesma vulnerabilidade, que foi divulgada à Microsoft em novembro de 2025, de fato daria acesso à "Cosmos Master Key".

Isso não era apenas um RCE, era a chave de tudo. A Microsoft levou oito meses para redesenhar a infraestrutura e remover essa chave mestra, adicionando novas proteções, mostrando a gravidade e complexidade da correção. A matéria atual revela os detalhes da linha do tempo e a profundidade da exploração que a matéria anterior, mais focada na capacidade de RCE, não havia detalhado.

Este caso reforça que, mesmo com a conveniência de bancos de dados NoSQL gerenciados na nuvem, a segurança continua sendo uma responsabilidade compartilhada. A exploração de uma falha em uma API específica, como a Gremlin, mostra como um ponto de entrada pode comprometer todo o sistema. A governança de dados e a gestão de credenciais em ambientes de nuvem precisam ser priorizadas e revisadas constantemente, para evitar que falhas como esta se tornem catástrofes de dados.

Este é o segundo incidente crítico envolvendo chaves do Cosmos DB descoberto pela Wiz, o que destaca a necessidade de auditorias independentes e aprimoramento contínuo das defesas em nuvens públicas. Engenheiros de dados e arquitetos devem incorporar essas lições no desenho de suas soluções.