Une faille de sécurité a été découverte dans Cosmos DB, la solution de base de données NoSQL de Microsoft Azure. Selon l’entreprise israélienne Wiz, spécialisée dans la découverte de vulnérabilités dans le cloud public, cette faille aurait pu permettre à des hackers de dérober les données de plusieurs milliers de grandes entreprises utilisatrices de Cosmos DB, telles que Coca-Cola, Asos, Siemens Healthineers, Symantec, Bentley, Skype, Exxon Mobil et Finastra. Microsoft a immédiatement corrigé la vulnérabilité, baptisée « Chaos DB », et a averti ses clients qu’elle ne semblait pas avoir été exploitée.
Cause de la faille de sécurité
La faille de sécurité était causée par une mauvaise configuration de la fonctionnalité open source « Jupyter Notebook » ajoutée à Cosmos DB par Microsoft en 2019. Les Jupyter Notebooks sont des sortes de cahiers informatiques qui permettent aux développeurs de partager du code et de l’exécuter dans la même interface utilisateur. La faille offrait de nombreuses possibilités aux acteurs malveillants, qui pouvaient facilement accéder aux clés primaires des utilisateurs de Cosmos DB, accordant ainsi les autorisations de lecture, d’écriture et de suppression sur l’ensemble de la base de données.
Modification des clés
Microsoft a invité 30 % des utilisateurs de Cosmos DB, soit 3000 clients, à modifier leurs clés qui n’ont pas de date d’expiration. Cependant, Wiz estime que cela ne suffit pas, car tous les comptes Cosmos DB utilisant la fonction de Jupyter Notebook ou créés après janvier 2021 sont potentiellement à risque. En effet, à partir de février 2021, cette fonctionnalité était activée par défaut pour chaque nouveau compte Cosmos DB, ce qui signifie que la clé primaire aurait été exposée à la faille de sécurité pendant plusieurs mois.
Microsoft a rapidement corrigé la faille de sécurité dans Cosmos DB et a averti ses clients de la situation. Cependant, selon Wiz, tous les comptes Cosmos DB créés depuis janvier 2021 sont potentiellement à risque. Microsoft a invité 30 % de ses utilisateurs à modifier leurs clés, mais il est recommandé que tous les utilisateurs de Cosmos DB prennent des mesures pour protéger leurs données.
