I ricercatori che hanno scoperto un grave difetto nei database delle chiavi archiviati nella piattaforma cloud Azure di Microsoft stanno ora esortando tutti gli utenti a modificare le proprie chiavi di accesso digitale, non solo le 3.300 che sono state notificate questa settimana.
I ricercatori di una società di sicurezza cloud chiamata Wiz hanno scoperto questo mese di avere accesso alle chiavi digitali primarie della maggior parte degli utenti di Cosmos DB, consentendo loro di rubare, modificare o eliminare milioni di record.
A seguito di un avviso di Wiz, Microsoft ha risolto rapidamente un bug di configurazione che avrebbe reso più semplice per qualsiasi utente Cosmos accedere ai database di altri client, quindi alcuni utenti giovedì hanno segnalato di aver cambiato le proprie chiavi.
In un post sul blog di venerdì, Microsoft ha dichiarato di aver avvertito i clienti che hanno impostato l’accesso a Cosmos durante il periodo di ricerca di una settimana.
Ha notato che non ha trovato prove che gli aggressori abbiano utilizzato lo stesso difetto per accedere ai dati dei clienti.
“La nostra indagine mostra che non vi era alcun accesso non autorizzato oltre all’attività di ricerca”, ha scritto Microsoft.
“Sono state inviate notifiche a tutti i clienti potenzialmente interessati dall’attività del ricercatore”, ha affermato, forse riferendosi alla possibile fuga di tecnologia da Wiz.
“Anche se non hai accesso ai dati dei clienti, ti consigliamo di ricreare le tue chiavi di lettura-scrittura di base”, ha affermato.
La Cybersecurity and Infrastructure Security Agency del Dipartimento della sicurezza interna degli Stati Uniti ha usato un linguaggio più forte nel suo bollettino di venerdì, spiegando che non ha parlato solo a coloro che sono stati informati.
CISA incoraggia fortemente i clienti di Azure Cosmos DB a ricreare e rinnovare la propria chiave del certificato Lei disse.
Gli esperti di Wiz, fondata da quattro veterani del team di sicurezza interna di Azure, sono d’accordo.
“Secondo me, è davvero difficile, se non impossibile, per loro escludere completamente che qualcuno l’abbia già usato”, ha detto uno dei quattro, il chief technology officer di Wiz, Amy Luttwak.
In Microsoft, ha sviluppato strumenti per la registrazione degli incidenti di sicurezza del cloud.
Microsoft non ha fornito una risposta diretta quando è stato chiesto se disponeva di record estesi per due anni quando la funzionalità Jupyter Notebook è stata configurata in modo errato o ha utilizzato un altro metodo per escludere l’abuso di accesso.
“Abbiamo esteso la nostra ricerca oltre le attività del ricercatore per cercare tutte le possibili attività di eventi attuali e simili in passato”, ha detto il portavoce Ross Rechinderfer, rifiutandosi di rispondere ad altre domande.
Wiese ha affermato che Microsoft ha lavorato a stretto contatto con lei nella ricerca, ma ha rifiutato di dire come ha garantito la sicurezza dei clienti precedenti.
È terrificante. Vorrei davvero che nessuno tranne noi potesse trovare questo bug”, ha detto uno dei ricercatori principali del progetto Wiz, Sagi Tzadik.