Microsoft: Forscher finden Masterkey für Vollzugriff auf Azure-Datenbanken - Golem.de
Mit dem Key hätten Angreifer alle Datenbanken bei Microsofts Datenbankdienst Azure Cosmos DB auslesen und manipulieren können – auch die von Microsoft.
31. Juli 2026 um 09:05 Uhr / Marc Stöckel
Sicherheitsforscher von Wiz haben eine kritische Schwachstelle in Microsofts führendem Datenbankdienst Azure Cosmos DB(öffnet im neuen Fenster) aufgedeckt. Angreifer hätten darüber an einen sogenannten Cosmos-Masterkey gelangen können, der ihnen Vollzugriff auf die Datenbanken aller Nutzer gewährt hätte, inklusive der von Microsoft selbst, schrieben die Forscher in einem Blogbeitrag(öffnet im neuen Fenster).
Entdeckt worden war die CosmosEscape genannte Sicherheitslücke den Angaben zufolge schon am 20. November 2025. Innerhalb von zwei Tagen nach Meldung implementierte Microsoft wohl einen Hotfix. Erst im Juli 2026 folgte eine finale Korrektur sowie jetzt die Offenlegung durch Wiz.
Vollzugriff auf alle Datenbanken
Der Masterkey besaß laut Blogbeitrag eine plattformübergreifende Funktion und befand sich auf einem DB Gateway, das die Forscher durch einen Ausbruch aus einer Sandbox mittels speziell gestalteter Gremlin-Queries(öffnet im neuen Fenster) erreichten.
Der Key ermöglichte laut Wiz das Abrufen des Primärschlüssels jedes beliebigen Cosmos-DB-Kontos und damit "uneingeschränkten Lese- und Schreibzugriff" auf alle zugehörigen Datenbanken. Zudem soll es damit möglich gewesen sein, alle Datenbanken beliebiger Regionen bei Azure Cosmos DB aufzulisten und diese etwa nach Abonnement- oder Tenant-IDs zu filtern.
"In Kombination hätten diese Funktionen eine präzise Angriffsausrichtung auf Plattformebene ermöglicht: von der Identifizierung der Datenbanken einer bestimmten Organisation bis hin zu deren Kompromittierung – und das alles über öffentlich zugängliche Endpunkte", schrieben die Wiz-Forscher im Blog.
Ein Masterkey weniger bei Microsoft
Sie erklärten, Microsoft habe das Problem inzwischen vollständig behoben und den Masterkey entfernt. Überdies soll der Konzern zusätzliche Sicherheitsmechanismen eingeführt haben, um ein Aufkommen vergleichbarer Angriffsvektoren künftig zu verhindern. Für Kunden und Nutzer des Datenbankdienstes besteht wohl kein Handlungsbedarf.
Details zu CosmosEscape sowie die vollständige Angriffskette wollen die Wiz-Forscher am 6. August auf der Hackerkonferenz Black Hat 2026(öffnet im neuen Fenster) in Las Vegas vorstellen. Hinweise auf eine Ausnutzung des entdeckten Masterkeys durch böswillige Akteure scheint es bisher nicht zu geben.
- Hier geht es zu Deep Learning mit Microsoft Azure bei Amazon
Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.