Hàng nghìn doanh nghiệp sử dụng Azure đã cảnh báo dữ liệu của họ đã bị lộ trong nhiều năm

Microsoft đã cảnh báo hàng nghìn khách hàng sử dụng dịch vụ điện toán đám mây Azure, bao gồm nhiều công ty nằm trong danh sách Fortune 500, về một lỗ hổng khiến dữ liệu của họ bị lộ hoàn toàn trong hai năm qua.

Một lỗ hổng trong sản phẩm cơ sở dữ liệu Azure Cosmos DB của Microsoft khiến hơn 3.300 khách hàng của Azure có thể hoàn thành quyền truy cập không hạn chế bởi những kẻ tấn công. Lỗ hổng bảo mật được giới thiệu vào năm 2019 khi Microsoft thêm tính năng trực quan hóa dữ liệu có tên là Jupyter Notebook vào Cosmos DB. Tính năng này được bật theo mặc định cho tất cả các DB của Cosmos vào tháng 2 năm 2021.

Danh sách các khách hàng của Azure Cosmos DB bao gồm các công ty như Coca-Cola, Liberty Mutual Insurance, ExxonMobil và Walgreens, v.v.

Ami Luttwak, Giám đốc Công nghệ của Wiz, công ty bảo mật đã phát hiện ra vấn đề này cho biết: “Đây là lỗ hổng đám mây tồi tệ nhất mà bạn có thể tưởng tượng. Đây là cơ sở dữ liệu trung tâm của Azure và chúng tôi có thể truy cập vào bất kỳ cơ sở dữ liệu khách hàng nào mà chúng tôi muốn.”

Bất chấp mức độ nghiêm trọng và rủi ro được đưa ra, Microsoft chưa thấy bất kỳ bằng chứng nào về lỗ hổng dẫn đến việc truy cập dữ liệu bất hợp pháp. Microsoft nói với Bloomberg trong một tuyên bố gửi qua email “Không có bằng chứng nào về việc kỹ thuật này bị lợi dụng bởi những kẻ độc hại. Chúng tôi không biết về bất kỳ dữ liệu khách hàng nào bị truy cập do lỗ hổng bảo mật này”. Theo Reuters, Microsoft đã trả cho Wiz 40.000 USD cho phát hiện này. Trong một bản cập nhật được đăng lên Trung tâm phản hồi bảo mật của Microsoft, công ty cho biết cuộc điều tra pháp y của họ bao gồm việc xem xét nhật ký để tìm bất kỳ hoạt động hiện tại hoặc các sự kiện tương tự trong quá khứ. Microsoft cho biết: “Cuộc điều tra của chúng tôi cho thấy không có truy cập trái phép nào ngoài hoạt động của nhà nghiên cứu.”

Trong một bài đăng trên blog, Wiz nói rằng lỗ hổng do Jupyter Notebook giới thiệu cho phép các nhà nghiên cứu của công ty có quyền truy cập vào các “chìa khoá” quan trọng bảo mật cơ sở dữ liệu Cosmos DB cho khách hàng của Microsoft. Với các “chìa khóa” nói trên, Wiz có toàn quyền truy cập đọc / ghi / xóa vào dữ liệu của hàng nghìn khách hàng Microsoft Azure.

Wiz nói rằng họ đã phát hiện ra vấn đề hai tuần trước và Microsoft đã vô hiệu hóa lỗ hổng trong vòng 48 giờ kể từ khi Wiz báo cáo nó. Tuy nhiên, Microsoft không thể thay đổi khóa truy cập chính của khách hàng, đó là lý do tại sao công ty đã gửi email cho khách hàng Cosmos DB để thay đổi khóa của họ theo cách thủ công nhằm giảm thiểu khả năng hiển thị.

Vấn đề này chỉ là cơn ác mộng bảo mật mới nhất đối với Microsoft. Công ty đã bị tin tặc SolarWinds đánh cắp một số mã nguồn vào cuối tháng 12, các máy chủ email Exchange của họ đã bị vi phạm và dính líu đến các cuộc tấn công ransomware vào tháng 3 và một lỗ hổng máy in gần đây đã cho phép kẻ tấn công chiếm đoạt các máy tính có đặc quyền cấp hệ thống. Nhưng với việc dữ liệu của thế giới ngày càng chuyển sang các dịch vụ đám mây tập trung như Azure, tiết lộ này có thể là sự phát triển đáng lo ngại nhất đối với Microsoft.

Nguồn: www.theverge.com