Auf den Punkt: Eine über einen Gremlin-Sandbox-Ausbruch erlangte "Cosmos Master Key" genannte Plattform-Zugangsdaten hätte mandantenübergreifenden Zugriff auf beliebige Azure-Cosmos-DB-Konten ermöglicht, wurde aber von Microsoft nach Meldung durch Wiz vollständig behoben, ohne Hinweise auf tatsächlichen Missbrauch.
Die von Wiz aufgedeckte Schwachstelle "CosmosEscape" erlaubte es, aus der Gremlin-Query-Sandbox von Azure Cosmos DB auszubrechen und Code auf gemeinsam genutzter Infrastruktur auszuführen. Betroffen waren potenziell auch Datenspeicher hinter Microsoft-Diensten wie Entra ID, Teams und Copilot.
Die Cloud-Sicherheitsfirma Wiz hat eine kritische Schwachstelle in Microsoft Azure Cosmos DB veröffentlicht, die sie als „CosmosEscape“ bezeichnet. Der Angriff setzte bei der Gremlin-API an, einer der Abfrageschnittstellen von Cosmos DB. Wiz-Forscher Yuval Avrahami und Lior Maman stellten bei Tests fest, dass .NET-Ausnahmefehler auf eine proprietäre Gremlin-Ausführungs-Engine anstelle einer Standardimplementierung hindeuteten. Über unzureichend eingeschränkte .NET-Reflection gelang es den Forschern, aus der Gremlin-Sandbox auszubrechen und beliebigen Code auf dem Cosmos DB Database Gateway auszuführen – jener Komponente, die Kundenabfragen verarbeitet.
Der so erlangte Zugriff legte Zugangsdaten offen, mit denen sich der Primärschlüssel jedes beliebigen Cosmos-DB-Kontos abrufen ließ – nicht nur des eigenen Testkontos der Forscher. Dieses von Wiz als „Cosmos Master Key“ bezeichnete Plattform-Credential schaltete zudem den regionalen Konfigurationsspeicher von Cosmos DB frei, wodurch sich Datenbankkonten nach Tenant- oder Subscription-ID enumerieren und anschließend deren Primärschlüssel abrufen ließen. Laut Wiz war der Signaturschlüssel weder auf ein einzelnes Konto noch auf eine Region oder API-Variante beschränkt – er funktionierte über Tenants, Regionen und die API-Ausprägungen SQL, MongoDB, Cassandra und Gremlin hinweg. Da Cosmos DB mehreren Microsoft-Cloud-Diensten zugrunde liegt, waren nach Angaben von Wiz auch Datenbanken betroffen, die Entra ID, Teams und Copilot unterstützen. Selbst private und netzwerkisolierte Cosmos-DB-Bereitstellungen waren exponiert, da das kompromittierte Database Gateway für die Durchsetzung dieser Netzwerkgrenzen zuständig war.
Wiz meldete die Schwachstelle am 20. November 2025 vertraulich an Microsoft. Laut der veröffentlichten Offenlegungs-Zeitleiste blockierte Microsoft den verwundbaren Gremlin-Angriffspfad innerhalb von 48 Stunden und schloss eine umfassendere architektonische Neugestaltung über alle Azure-Regionen hinweg im Juli 2026 ab. Microsoft erklärte, die Untersuchung habe keine Hinweise auf unautorisierte Aktivitäten außerhalb der Tests der Forscher ergeben, es seien keine Kundendaten zugegriffen worden, und Kunden müssten keine eigenen Maßnahmen ergreifen. Der von Wiz identifizierte plattformweite Authentifizierungsmechanismus („Cosmos Master Key“) wurde laut Microsoft ebenfalls entfernt.
Für CISOs verweist der Fall auf Risiken unterhalb der Kontrollebenen, die Cloud-Kunden selbst konfigurieren oder überwachen können. Sakshi Grover, Senior Research Manager bei IDC, weist darauf hin, dass CosmosEscape zeige, wie Mandantentrennung auch unterhalb der vom Kunden einsehbaren Schichten versagen kann. Bei der Bewertung von Managed-Database-Diensten reicht es demnach nicht aus, sich auf Merkmale wie Verschlüsselung, private Netzwerkanbindung oder Identitätskontrollen zu verlassen – Unternehmen sollten zusätzlich prüfen, wie Cloud-Anbieter die Isolation auf Infrastrukturebene selbst absichern und wie Vorfälle dieser Art in Vertrags- und Meldeprozessen abgebildet werden.
Quelle: www.csoonline.com · Erschienen 4. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.