ثغرة أمنية تم تصحيحها الآن في أزور كوزموس دي بي كان من الممكن أن يسمح للمهاجم بالهروب من وضع حماية استعلام Gremlin الخاص بالخدمة والحصول على حق الوصول الكامل للقراءة والكتابة إلى قواعد البيانات عبر مستأجري العملاء، وفقًا لـ Wiz.
الحذق، والتي تحمل الاسم الرمزي السلسلة com.CosmosEscapeقال إن سلسلة الاستغلال بدأت باستعلام معد ضد قاعدة بيانات Gremlin التي يتحكم فيها المهاجم. ومن هناك، كشف تنفيذ التعليمات البرمجية على بوابة متعددة المستأجرين عن سر توقيع على مستوى النظام الأساسي ودليل حساب إقليمي، مما يسمح للباحثين بتحديد موقع الهدف واسترداد مفتاح الحساب الأساسي الخاص به.
قامت Microsoft بحظر نقطة دخول Gremlin الضعيفة خلال 48 ساعة من تقرير نوفمبر 2025. وقال Wiz إن Microsoft أكملت الإصلاح طويل المدى في جميع المناطق في يوليو 2026 وألغت المفتاح على مستوى النظام الأساسي.
وقال متحدث باسم Microsoft لصحيفة Hacker News: “نحن نقدر عمل Wiz في تحديد هذه المشكلة والإبلاغ عنها من خلال الكشف المنسق عن الثغرات الأمنية”. “لقد عالجنا المشكلة بشكل كامل ولم نعثر على أي دليل على تأثير العملاء بناءً على تحقيقاتنا. ونحن مستمرون في الاستثمار في تحسينات أمنية إضافية عبر النظام الأساسي.”
وقالت مايكروسوفت إن مراجعتها لم تجد أي نشاط غير مصرح به خارج اختبارات الباحثين. وقالت إنه لم يتم الوصول إلى بيانات العميل ولا يلزم اتخاذ أي إجراء من جانب العميل.
تواصلت Hacker News أيضًا مع Wiz لتوضيح متطلبات الاستغلال والنطاق الذي تم اختباره. سيتم تحديث هذه القصة مع أي رد.
تبدأ السلسلة المنشورة بقاعدة بيانات Gremlin التي يتحكم فيها المهاجم وبيانات اعتماد هذا الحساب، وليس الوصول إلى قاعدة بيانات الضحية.
يتطلب دليل الاتصال الحالي من Microsoft مضيف حساب وقاعدة بيانات ومسار رسم بياني ومفتاح أساسي قبل أن يتمكن العميل من إرسال استعلامات Gremlin. لم ينشر Wiz ما إذا كانت الاستغلال يتطلب أي شيء يتجاوز نقطة البداية تلك.
وفقًا للكتابة الفنية لـ Wiz، يقوم محرك Gremlin المخصص لـ Cosmos DB بترجمة استعلامات Gremlin إلى تعليمات برمجية .NET وتشغيلها داخل بيئة مقيدة. وقال ويز إن القيود فشلت في حساب انعكاس .NET، مما سمح للباحثين ببناء أوليات قراءة الملفات وكتابة الملفات قبل الوصول إلى تنفيذ التعليمات البرمجية التعسفية.
يُظهر الكشف العام مخرجات الاستعلام المُعد الذي نفذ أمر اسم المضيف على الواجهة الخلفية لـ Cosmos DB، ولكن ليس الاستعلام نفسه. قال الباحثون إنهم سيقدمون السلسلة الكاملة في مؤتمر Black Hat USA في 6 أغسطس.
تم تنفيذ التعليمات البرمجية على مكون يستدعي Wiz بوابة DB، والذي ينفذ استعلامات العملاء على مجموعات Azure Service Fabric متعددة المستأجرين. لم يتم تخزين قواعد بيانات العملاء في تلك المجموعات، ولكن يمكن للبوابة استرداد المفتاح الأساسي لحساب Cosmos DB المطلوب. تقول وثائق Microsoft أن المفتاح الأساسي لحساب Cosmos DB يمنح التحكم الكامل في جميع الموارد الموجودة في هذا الحساب.
توفر بيانات الاعتماد المتاحة للبوابة أيضًا إمكانية الوصول إلى مفتاح التوقيع الذي أطلق عليه Wiz اسم Cosmos Master Key. قال Wiz إن مفتاح التوقيع الخاص بالبوابة يمكنه استرداد المفتاح الأساسي لأي حساب عبر المستأجرين والمناطق وواجهات برمجة تطبيقات SQL وMongoDB وCassandra وGremlin.
فتح السر نفسه قاعدة بيانات إقليمية تسمى Config Store، والتي وصفها Wiz بأنها دليل يحتوي على أسماء حسابات Cosmos DB، ومعرفات الاشتراك والمستأجر، وإعدادات الشبكة، والعلامات. يمكن للمهاجم استخدامه للعثور على حسابات مؤسسة معينة ومن ثم طلب مفاتيحها الأساسية.
وقال ويز إن السلسلة يمكنها أيضًا الوصول إلى الحسابات الخاصة والمعزولة عن الشبكة لأن البوابة المخترقة فرضت حدود الشبكة من داخل الخدمة. واقترح الباحثون أن إمكانية الوصول للكتابة إلى متجر Config Store يمكن أيضًا تغيير إعدادات الشبكة، على الرغم من أن التقرير لا يذكر أنهم أثبتوا ذلك مقابل حساب عميل آخر.
تشير وثائق Microsoft إلى أن بيانات رسائل Teams تبقى في قاعدة بيانات Cosmos DB، في حين يقول منشور هندسي لشركة Microsoft أن Copilot يخزن استعلامات المستخدمين وتاريخ المحادثات هناك. وقالت Wiz إنه من المحتمل أن يكون من الممكن الوصول إلى قواعد البيانات التي تدعم هذه المنتجات، لكنها لم تبلغ عن الوصول إلى بياناتها.
لا يذكر السجل العام متى دخل المحرك الضعيف ومسار مفتاح التوقيع إلى مرحلة الإنتاج أو الفترة التي غطتها مراجعة سجل Microsoft. وبالتالي تظل مدة التعرض المحتمل غير معروفة، على الرغم من إغلاق المسار المعروف منذ ذلك الحين.
لا يسرد الكشف أي معرف لـ CVE أو درجة خطورة. يعد CosmosEscape منفصلاً تقنيًا عن عيوب ChaosDB وCosMiss التي تم الكشف عنها في عامي 2021 و2022، والتي تضمنت ميزة Jupyter Notebook الخاصة بـ Cosmos DB.
