Auf den Punkt: Eine von Wiz aufgedeckte Schwachstellenkette in Azure Cosmos DB hätte über einen mandantenübergreifenden Master-Key den Zugriff auf beliebige Kundendatenbanken sowie auf Microsoft-Dienste wie Entra ID, Teams und Copilot erlaubt, wurde aber laut Microsoft ohne Ausnutzung durch Dritte vollständig behoben.
Die Sicherheitsfirma Wiz hat eine kritische Schwachstelle in Microsofts Azure Cosmos DB offengelegt, die es Angreifern erlaubt hätte, aus der Gremlin-Query-Sandbox auszubrechen und Code auf gemeinsam genutzter Infrastruktur auszuführen. Über die daraus abgeleiteten Zugangsdaten wäre der Zugriff auf beliebige Kundendatenbanken sowie auf Datenspeicher hinter Microsoft-Diensten wie Entra ID, Teams und Copilot möglich gewesen.
Wiz-Forscher Yuval Avrahami und Lior Maman dokumentieren in ihrem Bericht eine Kette von Schwachstellen unter dem Namen CosmosEscape. Ausgangspunkt war die Gremlin-API, eine der von Azure Cosmos DB unterstützten Abfrageschnittstellen. Beim Testen von Gremlin-Queries fielen den Forschern .NET-Exceptions auf, die darauf hindeuteten, dass Microsoft eine eigene, angepasste Gremlin-Ausführungs-Engine anstelle einer Standardimplementierung einsetzt. Über unzureichend eingeschränkte .NET-Reflection gelang es den Forschern, aus der Gremlin-Sandbox auszubrechen und beliebigen Code auf dem Cosmos DB Database Gateway auszuführen – jener Komponente, die Kundenabfragen verarbeitet.
Dieser Zugriff legte Zugangsdaten offen, mit denen sich der Primärschlüssel für jedes beliebige Cosmos-DB-Konto abrufen ließ, nicht nur für das eigene Testkonto der Forscher. Nach Angaben von Wiz erschloss dasselbe Plattform-Credential zudem den regionalen Konfigurationsspeicher von Cosmos DB und ermöglichte es, Datenbankkonten nach Mandant oder Subscription-ID zu enumerieren, bevor deren Primärschlüssel abgerufen wurden. Der von den Forschern als „Cosmos Master Key“ bezeichnete Signaturschlüssel war laut Wiz nicht auf ein einzelnes Konto begrenzt, sondern funktionierte mandanten-, regionen- und API-übergreifend – also über SQL-, MongoDB-, Cassandra- und Gremlin-Schnittstellen hinweg.
Die Auswirkungen reichten über reine Kundenworkloads hinaus: Da Cosmos DB mehreren Microsoft-Clouddiensten zugrunde liegt, waren auch Datenbanken hinter Entra ID, Teams und Copilot potenziell erreichbar. Auch privat und netzwerkisoliert konfigurierte Cosmos-DB-Instanzen waren betroffen, da das kompromittierte Database Gateway für die Durchsetzung dieser Netzwerkgrenzen zuständig ist.
Wiz meldete die Schwachstelle am 20. November 2025 vertraulich an Microsoft. Laut der veröffentlichten Timeline blockierte Microsoft den verwundbaren Gremlin-Angriffspfad innerhalb von 48 Stunden und schloss ein umfassenderes architektonisches Redesign über alle Azure-Regionen im Juli 2026 ab. Microsoft erklärte, seine Untersuchung habe keine Hinweise auf unautorisierte Aktivitäten außerhalb der Forschertests ergeben, es seien keine Kundendaten zugegriffen worden und Kunden müssten keine Maßnahmen ergreifen. Der plattformweite Authentifizierungsmechanismus, den Wiz als „Cosmos Master Key“ bezeichnet hatte, wurde nach Unternehmensangaben ebenfalls eliminiert.
Sakshi Grover, Senior Research Manager bei IDC, ordnet den Fall gegenüber CSO Online ein: CosmosEscape zeige, dass Mandantentrennung unterhalb der Kontrollebenen versagen kann, die Kunden selbst konfigurieren oder überwachen. Für Sicherheitsverantwortliche folgt daraus, dass die Bewertung von Managed-Database-Diensten nicht allein anhand kundenseitiger Kontrollen wie Verschlüsselung, privater Netzwerkanbindung oder Identitätsmanagement erfolgen sollte, sondern auch die Isolationsgarantien des Cloud-Anbieters selbst hinterfragt werden müssen.
Quelle: www.csoonline.com · Erschienen 4. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.