Vulnerabilidad crítica en Microsoft Azure Cosmos DB abre portátiles Jupyter

Los investigadores del Centro de Respuesta de Seguridad de Microsoft (MSRC) y Orca Security sacaron a relucir esta semana una vulnerabilidad crítica en Microsoft Azure Cosmos DB que afecta su característica Cosmos DB Jupyter Notebooks. El error de ejecución remota de código (RCE) proporciona un retrato de cómo los atacantes podrían utilizar las debilidades en la arquitectura de autenticación de los entornos nativos de la nube y aptos para el aprendizaje automático.

Apodada CosMiss por el equipo de investigación de Orca, la vulnerabilidad se reduce a una configuración incorrecta en la forma en que se manejan los encabezados de autorización, lo que permite a los usuarios no autenticados obtener acceso de lectura y escritura a los cuadernos de Azure Cosmos DB, e inyectar y sobrescribir código.

“En resumen, si un atacante tuviera conocimiento del 'forwardingId' de un Notebook, que es el UUID del Notebook Workspace, habría tenido permisos completos en el Notebook, incluido el acceso de lectura y escritura, y la capacidad de modificar el sistema de archivos de el contenedor que ejecuta el cuaderno”, escribieron Lidor Ben Shitrit y Roee Sagi de Orca en un desglose técnico de la vulnerabilidad. "Al modificar el sistema de archivos del contenedor, también conocido como espacio de trabajo dedicado para el alojamiento temporal de portátiles, pudimos obtener RCE en el contenedor del portátil".

Una base de datos NoSQL distribuida, Azure Cosmos DB está diseñado para admitir aplicaciones escalables de alto rendimiento con alta disponibilidad y baja latencia. Entre sus usos se encuentran la telemetría y el análisis de dispositivos IoT; servicios minoristas en tiempo real para ejecutar cosas como catálogos de productos y recomendaciones personalizadas impulsadas por IA; y aplicaciones distribuidas globalmente tales como servicios de transmisión, servicios de recogida y entrega, y similares.

Mientras tanto, Jupyter Notebooks es un entorno de desarrollo interactivo (IDE) de código abierto utilizado por desarrolladores, científicos de datos, ingenieros y analistas de negocios para hacer de todo, desde exploración y limpieza de datos hasta modelado estadístico, visualización de datos y aprendizaje automático. Es un entorno poderoso creado para crear, ejecutar y compartir documentos con código en vivo, ecuaciones, visualizaciones y texto narrativo.

Los investigadores de Orca dicen que esta funcionalidad hace que una falla en la autenticación dentro de los portátiles Cosmos DB sea particularmente riesgoso, ya que "los desarrolladores los utilizan para crear código y, a menudo, contienen información altamente confidencial, como secretos y claves privadas incrustadas en el código".

La falla se introdujo a fines del verano, Orca la encontró y la reveló a Microsoft a principios de octubre y se solucionó en dos días. El parche no requirió ninguna acción por parte de los clientes para su implementación debido a la arquitectura distribuida de Cosmos DB.

No es la primera vulnerabilidad encontrada en Cosmos

La integración incorporada de Jupyter Notebooks en Azure Cosmos DB sigue siendo una característica en el modo de vista previa, pero definitivamente no es la primera falla publicitada que se encuentra en él. Investigadores del año pasado con Wiz.io descubierto CRISPR una cadena de fallas en la característica que otorgaba a cualquier usuario de Azure acceso de administrador completo a las instancias de Cosmos DB de otros clientes sin autorización. En ese momento, los investigadores informaron que grandes marcas como Coca-Cola, Kohler, Rolls-Royce, Siemens y Symantec tenían claves de base de datos expuestas.

Se puede argumentar que el riesgo y los impactos de esta última falla tienen un alcance más limitado que el anterior debido a una serie de factores que MSRC presentó en un blog publicado el martes. 

Según el blog de MSRC, el error explotable estuvo expuesto durante aproximadamente dos meses después de que una actualización este verano en una API de back-end resultó en solicitudes que no se autenticaron correctamente. La buena noticia es que el equipo de seguridad realizó una investigación exhaustiva de la actividad y no encontró señales de que los atacantes aprovecharan la falla en ese momento.

"Microsoft realizó una investigación de los datos de registro del 12 de agosto al 6 de octubre y no identificó ninguna solicitud de fuerza bruta que indicara actividad maliciosa". escribió un portavoz de MSRC, quien también señaló que el 99.8 % de los clientes de Azure Cosmos DB aún no utilizan Jupyter Notebooks.

Mitigar aún más el riesgo es el hecho de que el forwardingId utilizado en la prueba de concepto de Orca tiene una vida útil muy corta. Los cuadernos se ejecutan en un espacio de trabajo de cuaderno temporal que tiene una duración máxima de una hora, después de lo cual se eliminan todos los datos de ese espacio de trabajo.

“El impacto potencial se limita al acceso de lectura/escritura de los portátiles de la víctima durante el tiempo que su espacio de trabajo de portátiles temporal está activo”, explicó Microsoft. "La vulnerabilidad, incluso con el conocimiento del forwardingId, no permitía ejecutar cuadernos, guardar automáticamente cuadernos en el repositorio de GitHub conectado (opcional) de la víctima ni acceder a los datos en la cuenta de Azure Cosmos DB".