Forscher decken „CosmosEscape"-Schwachstelle auf, die jede Azure-Cosmos-DB-Datenbank hätte exponieren können

Sicherheitsforscher von Wiz haben CosmosEscape öffentlich offengelegt, eine Vulnerability-Kette in Microsofts Azure Cosmos DB, die es einem Angreifer ermöglicht hätte, einen plattformweiten Master Key zu extrahieren und damit den primären Zugriffsschlüssel einer beliebigen Cosmos-DB-Datenbank eines Kunden abzurufen – einschließlich Datenbanken, die durch Netzwerk-Isolationskontrollen geschützt sind. Microsoft behob das zugrunde liegende Problem Monate vor der öffentlichen Offenlegung, und das Unternehmen erklärte, es habe keine Hinweise darauf gefunden, dass die Schwachstelle außerhalb von Wiz' eigenen Tests jemals ausgenutzt wurde.

Wiz meldete die Schwachstelle am 20. November 2025 an Microsoft. Microsoft stellte innerhalb von zwei Tagen einen sofortigen Hotfix bereit, um den spezifischen Angriffsvektor zu blockieren, und verbrachte die folgenden Monate damit, einen langfristigen architektonischen Fix zu entwickeln und in allen Regionen auszurollen, der im Juli 2026 abgeschlossen wurde. Die öffentliche Offenlegung folgte am 30. Juli.

Die Schwachstelle hatte ihren Ursprung in der Gremlin API von Cosmos DB, die Graphdatenbank-Abfragen im Hintergrund in ausführbaren .NET-Code übersetzt. Die Forscher von Wiz stellten fest, dass die Sandboxing-Mechanismen der Abfrage-Engine .NET-Reflection-Techniken nicht ausreichend einschränkten, wodurch sie Primitive für beliebiges Dateilesen, Dateischreiben und Codeausführung gegen das Multi-Tenant-Gateway aufbauen konnten, das Gremlin-Abfragen für jeden Cosmos-DB-Kunden auf der Plattform verarbeitet.

Von dieser Ausgangsbasis aus lokalisierten und extrahierten die Forscher den Cosmos Master Key – eine einzige plattformweite Signieranmeldedaten, die auf der gemeinsamen Service-Fabric-Infrastruktur gespeichert ist, die dem Dienst zugrunde liegt. Mit diesem Schlüssel konnte ein Angreifer den internen Konfigurationsspeicher von Cosmos DB abfragen, um jedes Konto auf der Plattform nach Region aufzulisten, und anschließend den primären Zugriffsschlüssel für ein beliebiges, gezielt ausgewähltes Konto abrufen, was vollen Lese- und Schreibzugriff auf die Daten dieses Kunden gewährte.

Was die Schwachstelle besonders schwerwiegend machte, ist, dass sie den Schutz umging, den Kunden normalerweise von Netzwerk-Isolation erwarten würden. Das Gateway von Cosmos DB ist die Komponente, die in erster Linie für die Durchsetzung von Netzwerkzugriffsbeschränkungen verantwortlich ist. Die Kompromittierung des Gateways selbst bedeutete daher, dass ein Angreifer diese Beschränkungen potenziell neu konfigurieren konnte, anstatt sie lediglich zu umgehen – was bedeutet, dass auch privat vernetzte, nicht öffentlich zugängliche Cosmos-DB-Bereitstellungen theoretisch exponiert waren.

Der Umfang geht über direkt bereitgestellte Kundendatenbanken hinaus. Azure Cosmos DB bildet die Grundlage für mehrere von Microsofts eigenen Kerndiensten, darunter Microsoft Entra ID, Microsoft Teams und Microsoft Copilot, die alle auf Cosmos DB als Backend-Infrastruktur angewiesen sind – was bedeutet, dass eine erfolgreiche Exploit-Kette theoretisch weit über die Daten eines einzelnen Kunden hinausreichen konnte.

Microsoft hat bestätigt, dass die Schwachstelle vollständig behoben ist, und den Forschern mitgeteilt, dass keine Hinweise auf unbefugten Zugriff über Wiz' kontrollierte Tests hinaus gefunden wurden und keine Kundendaten kompromittiert wurden. Das Unternehmen hat seitdem die Authentifizierungsarchitektur rund um den Master Key gehärtet und zusätzliche Netzwerkschutzmaßnahmen auf der Gateway-Ebene hinzugefügt. Cosmos-DB-Kunden müssen keine Maßnahmen ergreifen – der Fix wurde plattformweit vor dieser Offenlegung angewendet, und es gibt für einzelne Kontoinhaber nichts zu patchen oder neu zu konfigurieren.