Des chercheurs dévoilent la faille « CosmosEscape » qui aurait pu exposer toutes les bases de données Azure Cosmos DB

Les chercheurs en sécurité de Wiz ont publiquement dévoilé CosmosEscape, une chaîne de vulnérabilités dans Azure Cosmos DB de Microsoft qui aurait pu permettre à un attaquant d'extraire une clé maîtresse à l'échelle de la plateforme et de l'utiliser pour récupérer la clé d'accès principale de n'importe quelle base de données Cosmos DB d'un client — y compris les bases de données protégées par des contrôles d'isolation réseau. Microsoft a corrigé le problème sous-jacent des mois avant la publication publique, et l'entreprise affirme n'avoir trouvé aucune preuve que la faille ait été exploitée en dehors des tests de Wiz.

Wiz a signalé la vulnérabilité à Microsoft le 20 novembre 2025. Microsoft a déployé un correctif d'urgence en deux jours pour bloquer le vecteur d'attaque spécifique, puis a consacré les mois suivants à développer et déployer un correctif architectural à long terme dans toutes les régions, achevé en juillet 2026. La divulgation publique a suivi le 30 juillet.

La vulnérabilité provenait de l'API Gremlin de Cosmos DB, qui traduit les requêtes de base de données graphe en code .NET exécutable en arrière-plan. Les chercheurs de Wiz ont découvert que le sandboxing du moteur de requêtes ne restreignait pas correctement les techniques de réflexion .NET, leur permettant de construire des primitives pour la lecture arbitraire de fichiers, l'écriture de fichiers et l'exécution de code contre la passerelle multi-tenant qui traite les requêtes Gremlin pour chaque client Cosmos DB sur la plateforme.

À partir de ce point d'appui, les chercheurs ont localisé et extrait la clé maîtresse Cosmos — une seule clé de signature à l'échelle de la plateforme stockée sur l'infrastructure partagée Service Fabric sous-jacente au service. Avec cette clé, un attaquant pouvait interroger le magasin de configuration interne de Cosmos DB pour énumérer chaque compte sur la plateforme par région, puis récupérer la clé d'accès principale de n'importe quel compte ciblé, obtenant ainsi un accès complet en lecture et écriture aux données de ce client.

Ce qui rendait la faille particulièrement grave, c'est qu'elle contournait la protection que les clients attendent normalement de l'isolation réseau. La passerelle de Cosmos DB est le composant chargé d'appliquer les restrictions d'accès réseau en premier lieu, donc compromettre la passerelle elle-même signifiait qu'un attaquant pouvait potentiellement reconfigurer ces restrictions plutôt que simplement les contourner — ce qui signifie que même les déploiements Cosmos DB en réseau privé, non exposés publiquement, étaient théoriquement vulnérables.

La portée dépasse les bases de données client directement provisionnées. Azure Cosmos DB sous-tend plusieurs services essentiels de Microsoft, notamment Microsoft Entra ID, Microsoft Teams et Microsoft Copilot, qui reposent tous sur Cosmos DB comme infrastructure backend — ce qui signifie qu'une chaîne d'exploitation réussie aurait théoriquement pu atteindre bien au-delà des données d'un seul client.

Microsoft a confirmé que la vulnérabilité est entièrement corrigée, indiquant aux chercheurs qu'aucune preuve d'accès non autorisé au-delà des tests contrôlés de Wiz n'a été identifiée et qu'aucune donnée client n'a été compromise. L'entreprise a depuis renforcé l'architecture d'authentification autour de la clé maîtresse et ajouté des protections réseau supplémentaires au niveau de la passerelle. Les clients Cosmos DB n'ont aucune action à entreprendre — le correctif a été appliqué à l'échelle de la plateforme avant cette divulgation, et il n'y a rien à patcher ou reconfigurer côté titulaires de comptes.