Vulnerabilidade Crítica no Azure Cosmos DB Permitiria Acesso Global a Dados

A vulnerabilidade, batizada de "CosmosEscape" pela Wiz, expôs uma falha crítica no Azure Cosmos DB, a base de dados NoSQL da Microsoft. Os pesquisadores descobriram que o ataque explorava o motor Gremlin customizado do Cosmos DB, que, diferente das implementações JVM comuns, utiliza .NET. Esse detalhe foi a porta de entrada para a execução remota de código no DB Gateway. O ataque driblou o sandbox do Gremlin via reflexão .NET, permitindo aos invasores o controle do gateway.

A partir do DB Gateway comprometido, a Wiz extraiu a "Cosmos Master Key". Esta chave mestra não era restrita a uma conta específica. Ela permitia recuperar as chaves primárias de qualquer conta Cosmos DB, concedendo acesso completo de leitura e escrita. Isso incluía dados de serviços internos da Microsoft, como Microsoft Entra ID, Microsoft Teams e Microsoft Copilot. Mesmo contas isoladas por rede ou privadas estavam vulneráveis, já que o DB Gateway é o responsável por impor esse isolamento. A Microsoft respondeu rapidamente, aplicando um hotfix em 48 horas e eliminando a master key, sem evidências de exploração externa.

Esta falha ressalta um ponto crucial sobre segurança em plataformas de nuvem: a importância da proteção na camada de infraestrutura. O Azure Cosmos DB serve como a espinha dorsal para inúmeros serviços e aplicações. Uma vulnerabilidade nesse nível pode ter um efeito cascata, comprometendo múltiplos sistemas e dados sensíveis. O incidente com a "CosmosEscape" sublinha que, mesmo em ambientes na nuvem, a segurança é uma responsabilidade compartilhada e que falhas em componentes fundamentais exigem respostas rápidas e abrangentes, como a atualização arquitetural que a Microsoft concluiu em julho.