MSRC(Microsoft Security Response Center) 및 Orca Security의 연구원들은 이번 주 Cosmos DB Jupyter 노트북 기능에 영향을 미치는 Microsoft Azure Cosmos DB의 치명적인 취약점에 대해 표지를 그렸습니다. RCE(원격 코드 실행) 버그는 공격자가 클라우드 네이티브 및 머신 러닝 친화적 환경의 인증 아키텍처 약점을 어떻게 악용할 수 있는지에 대한 초상화를 제공합니다.
Orca의 연구 팀이 CosMiss라고 명명한 이 취약점은 권한 부여 헤더가 처리되는 방식의 잘못된 구성으로 요약되며, 이로 인해 인증되지 않은 사용자가 Azure Cosmos DB 노트북에 대한 읽기 및 쓰기 액세스 권한을 얻고 코드를 삽입 및 덮어쓸 수 있습니다.
“요컨대, 공격자가 노트북 작업 공간의 UUID인 노트북의 'forwardingId'를 알고 있었다면 읽기 및 쓰기 액세스와 노트북의 파일 시스템을 수정할 수 있는 기능을 포함하여 노트북에 대한 모든 권한을 가졌을 것입니다. 노트북을 실행하는 컨테이너”라고 Orca의 Lidor Ben Shitrit과 Roee Sagi는 다음과 같이 썼습니다. 기술적 고갈 취약점의. "임시 노트북 호스팅을 위한 전용 작업 공간인 컨테이너 파일 시스템을 수정하여 노트북 컨테이너에서 RCE를 얻을 수 있었습니다."
분산 NoSQL 데이터베이스인 Azure Cosmos DB는 가용성이 높고 대기 시간이 짧은 확장 가능한 고성능 앱을 지원하도록 설계되었습니다. 그 용도 중에는 IoT 장치 원격 측정 및 분석이 있습니다. 제품 카탈로그 및 AI 기반 개인화 추천과 같은 것을 실행하는 실시간 소매 서비스; 스트리밍 서비스, 픽업 및 배달 서비스 등과 같은 전 세계적으로 분산된 애플리케이션.
한편, Jupyter Notebooks는 개발자, 데이터 과학자, 엔지니어 및 비즈니스 분석가가 데이터 탐색 및 데이터 정리에서 통계 모델링, 데이터 시각화 및 기계 학습에 이르기까지 모든 작업을 수행하는 데 사용하는 오픈 소스 대화형 개발자 환경(IDE)입니다. 라이브 코드, 방정식, 시각화 및 내러티브 텍스트로 문서를 생성, 실행 및 공유하기 위해 구축된 강력한 환경입니다.
Orca 연구원은 이 기능이 Cosmos DB 노트북 내 인증 결함을 특히 위험하게 만든다고 말합니다. "개발자가 코드를 작성하는 데 사용하고 코드에 포함된 비밀 및 개인 키와 같은 매우 민감한 정보를 포함하는 경우가 많기 때문입니다."
이 결함은 늦여름에 소개되었고 XNUMX월 초에 Orca가 발견하여 Microsoft에 공개했으며 XNUMX일 이내에 수정되었습니다. 패치는 Cosmos DB의 분산 아키텍처로 인해 롤아웃하기 위해 고객의 조치가 필요하지 않았습니다.
코스모스에서 발견된 최초의 취약점이 아님
Jupyter Notebooks와 Azure Cosmos DB의 기본 제공 통합은 여전히 미리 보기 모드의 기능이지만 이 기능에서 발견된 첫 번째 공개된 결함은 아닙니다. Wiz.io의 작년 연구원 발견 인증 없이 Azure 사용자에게 다른 고객의 Cosmos DB 인스턴스에 대한 전체 관리자 액세스 권한을 부여하는 기능의 일련의 결함. 당시 연구원들은 Coca-Cola, Kohler, Rolls-Royce, Siemens 및 Symantec과 같은 대형 브랜드가 모두 데이터베이스 키를 노출했다고 보고했습니다.
이 최신 결함의 위험과 영향은 화요일 게시된 블로그에서 MSRC가 제시한 여러 요인으로 인해 이전 결함보다 범위가 더 제한적이라고 주장할 수 있습니다.
MSRC 블로그에 따르면 악용 가능한 버그는 백엔드 API에서 이번 여름 업데이트 이후 약 XNUMX개월 동안 노출되어 요청이 제대로 인증되지 않았습니다. 좋은 소식은 보안 팀이 활동에 대한 철저한 조사를 수행했으며 당시에는 공격자가 결함을 악용한 흔적을 발견하지 못했다는 것입니다.
"Microsoft는 12월 6일부터 XNUMX월 XNUMX일까지 로그 데이터를 조사했으며 악의적인 활동을 나타내는 무차별 대입 요청을 식별하지 못했습니다." MSRC 대변인을 썼습니다., 그는 또한 Azure Cosmos DB 고객의 99.8%가 아직 Jupyter Notebook을 사용하지 않는다고 언급했습니다.
위험을 더욱 완화하는 것은 Orca 개념 증명에 사용된 forwardingId의 수명이 매우 짧다는 사실입니다. 노트북은 최대 수명이 XNUMX시간인 임시 노트북 작업 영역에서 실행되며 그 후에는 해당 작업 영역의 모든 데이터가 삭제됩니다.
"잠재적인 영향은 임시 노트북 작업 공간이 활성화된 동안 피해자의 노트북에 대한 읽기/쓰기 액세스로 제한됩니다."라고 Microsoft는 설명했습니다. "이 취약점은 forwardingId에 대한 지식이 있더라도 노트북을 실행하거나 피해자(선택 사항)에 연결된 GitHub 리포지토리에 노트북을 자동으로 저장하거나 Azure Cosmos DB 계정의 데이터에 액세스할 수 있는 기능을 제공하지 않았습니다."
