Microsoft waarschuwt duizenden klanten voor kritiek lek in Azure Cosmos DB
Microsoft heeft duizenden klanten gewaarschuwd voor een kritieke kwetsbaarheid in Azure Cosmos DB waardoor aanvallers toegang tot databases konden krijgen. Cosmos DB is een databaseplatform dat onderdeel van Microsofts Azure-clouddienst is. Het wordt door allerlei bedrijven gebruikt voor de opslag van grote hoeveelheden data, waaronder Fortune 500-bedrijven gebruikt. Coca-Cola, Exxon-Mobil en Citrix maken gebruik van Cosmos DB.
Onderzoekers van securitybedrijf Wiz ontdekten dat het mogelijk was om volledige toegang tot de databases van Cosmos DB-klanten te krijgen. In 2019 voegde Microsoft een feature toe genaamd Jupyter Notebook waarmee klanten hun data kunnen visualiseren. De feature werd in februari van dit jaar voor alle klanten standaard ingeschakeld. Een aantal misconfiguraties in de notebook-feature maakten het mogelijk om toegang tot de notebooks van andere klanten te krijgen.
Zo was het mogelijk om de primaire keys van de betreffende Cosmos DB te bemachtigen en andere "secrets", waaronder toegangstokens. Met deze informatie was het vervolgens mogelijk om volledige beheerderstoegang tot alle data in de Cosmos DB-accounts te krijgen en de database te lezen, schrijven of verwijderen. Wiz waarschuwde Microsoft, waarna de kwetsbare notebook-feature binnen 48 uur werd uitgeschakeld.
Microsoft waarschuwde klanten en adviseerde hen om hun keys te wijzigen, aangezien die door aanvallers gecompromitteerd kunnen zijn. Zolang deze keys niet zijn gewijzigd kan een aanvaller daarmee toegang tot de database krijgen. Wiz laat weten dat Microsoft alleen klanten heeft ingelicht die tijdens de onderzoeksperiode risico liepen. Het securitybedrijf denkt dat veel meer Cosmos DB-klanten gevaar lopen, aangezien de kwetsbaarheid zeker maanden en mogelijk jaren aanwezig was. Technische details over de kwetsbaarheid zullen op een later moment bekend worden gemaakt.
Hier gaat het continu mis, of het nu Apple, MS of Google is. We hebben wat nieuws, en het staat standaard AAN voor de gebruikers.
En als het dan lek blijkt te zijn, weet het grootste gedeelte van de gebruikers niet dat er iets aan de hand is.
Zeker niet als je al niet weet dat de feature bestaat.
En aantal klanten van mij hadden een soortgelijk akkefietje met Google's Groups. Waren ze ineens lid van allerlei clubjes en werd de mailbox vol gespamd. Bleek dat de opties om van buitenaf zonder toestemming gewoon aan te staan
Te idioot voor woorden :(
Windows? Azure? Het blijkt hier dat Microsoft zelfs als ze niet met Windows bezig zijn toch kans ziet om het totaal te verklooien:
Windows? Azure? Het blijkt hier dat Microsoft zelfs als ze niet met Windows bezig zijn toch kans ziet om het totaal te verklooien:
Nee, dagelijks.
En als je openlijk doet krijg je nog de wind van voren van je collega's ook, want dan ben je geen teamplayer.
Wat leren ze tegenwoordig? Enkel wat gehobby op de pc (python jupyter notebook) maar niet gedegen beheer en security by design. Dat laatste is vaak wel een kreet maar krijgt snel het verkoopverhaaltje zelf bij de universiteien.
Wat leren ze tegenwoordig? Enkel wat gehobby op de pc (python jupyter notebook) maar niet gedegen beheer en security by design. Dat laatste is vaak wel een kreet maar krijgt snel het verkoopverhaaltje zelf bij de universiteien.
Niet bij Microsoft, zoveel is ondertussen wel duidelijk. Bij Google en Amazon doen ze het véél beter.
Het Orakel
Windows? Azure? Het blijkt hier dat Microsoft zelfs als ze niet met Windows bezig zijn toch kans ziet om het totaal te verklooien:
Daarom moet je nog steeds hoog beschikbaarheid in je applicaties regelen om dit te voorkomen. Dit is hetzelfde bij Microsoft, AWS, Google of On-Prem.
Wat leren ze tegenwoordig? Enkel wat gehobby op de pc (python jupyter notebook) maar niet gedegen beheer en security by design. Dat laatste is vaak wel een kreet maar krijgt snel het verkoopverhaaltje zelf bij de universiteien.
Niet bij Microsoft, zoveel is ondertussen wel duidelijk. Bij Google en Amazon doen ze het véél beter.
Vorig jaar hadden ze ook een klein probleempje, wat zichtbaar was op het Complete Internet.
AWS infrastructuur is ook verantwoordelijk voor heel veel data breaches. Niet direct een AWS probleem, maar het zegt wel iets over de kwaliteit van hoe je beheer kunt uitvoeren bij AWS.
Daarmee is en blijft dit nog wel een blunder van jewelste van Microsoft.
Maar het gras is altijd groener aan de overkant, als je door een roze bril kijkt.
Google, is ook maar een kleine speler in de Cloud.
https://github.com/danluu/post-mortems
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
