Lo + Nuevo
Search and buy domains from Namecheap. Lowest prices!
Tag

Microsoft Azure

Browsing


Un fallo de seguridad de Microsoft provoca que cientos de bases de datos de los clientes estén expuestos. La empresa de seguridad Wiz quien descubrió que podía acceder a las claves que controlan el acceso a las bases de datos de miles de empresas.

ChaosDB, un fallo crítico de Cosmos DB afectó a miles de clientes de Microsoft Azure

Microsoft ha corregido un falla crítico en Cosmos DB que permitía a cualquier usuario de Azure hacerse cargo de forma remota de las bases de datos de otros usuarios sin ninguna autorización.

Investigadores de la empresa de seguridad en la nube Wiz revelaron detalles técnicos de una vulnerabilidad de la base de datos de Azure Cosmos ahora corregida, denominada ChaosDB, que podría haber sido potencialmente explotada por los atacantes para obtener acceso de administrador completo a las instancias de la base de datos de otros clientes sin ninguna autorización.

“#ChaosDB es una vulnerabilidad crítica sin precedentes en la plataforma en la nube de Azure que permite la toma de control de cuenta remota de la base de datos insignia de Azure: Cosmos DB. La vulnerabilidad, que fue revelada a Microsoft en agosto de 2021 por el equipo de investigación de Wiz, otorga a cualquier usuario de Azure acceso de administrador completo (lectura, escritura, eliminación) a las instancias de Cosmos DB de otros clientes sin autorización “. lee el post publicado por la firma de seguridad,

Azure Cosmos Darabase es el servicio de base de datos multimodelo distribuido globalmente de Microsoft.

Los expertos de Wiz descubrieron la vulnerabilidad el 9 de agosto y la informaron a Microsoft el día 12. El 14 de agosto de 2021, el equipo de investigación de Wiz observó que la falla se solucionó y el 16 de agosto MSRC reconoció la falla.

El mismo día, las credenciales obtenidas por el equipo de investigación de Wiz fueron revocadas y el 17 de agosto, MSRC otorgó una recompensa de $ 40,000 por el informe. Microsoft reveló públicamente la falla el 26 de agosto de 2021.

“Microsoft se ha dado cuenta recientemente de una vulnerabilidad en Azure Cosmos DB que podría permitir que un usuario obtenga acceso a los recursos de otro cliente mediante el uso de la clave principal de lectura y escritura de la cuenta. Esta vulnerabilidad nos la informó confidencialmente un investigador de seguridad externo. Una vez que nos dimos cuenta de este problema el 12 de agosto de 2021, mitigamos la vulnerabilidad de inmediato “. lee la declaración compartida por Microsoft con sus clientes. “No tenemos ninguna indicación de que entidades externas fuera del investigador tuvieran acceso a la clave principal de lectura y escritura asociada con su (s) cuenta (s) de Azure Cosmos DB. Además, no tenemos conocimiento de ningún acceso a datos debido a esta vulnerabilidad. Las cuentas de Azure Cosmos DB con vNET o firewall habilitado están protegidas por mecanismos de seguridad adicionales que evitan el riesgo de acceso no autorizado “.

Los expertos de Wiz identificaron un exploit que aprovecha una cadena de vulnerabilidades en la función Jupyter Notebook de Cosmos DB que permite a un atacante obtener las credenciales correspondientes a la cuenta de Cosmos DB de destino, incluida la clave principal. Estas credenciales permiten a los usuarios ver, modificar y eliminar datos en la cuenta de Cosmos DB de destino a través de múltiples canales.

Microsoft alerta a sus clientes de grave vulnerabilidad en BD Cosmos utilizada en los servicios cloud de Azure

La compañía Microsoft alerta a miles de clientes de su nube que atacantes podrían tener la posibilidad de acceder a las cuentas, e incluso leer y modificar el contenido de las bases de datos. Entre estos datos se encuentran algunas de las empresas más grandes del mundo. 

La empresa que ha descubierto el fallo pudo acceder a sus bases de datos y en su descubrimiento tenían la capacidad no solo de ver el contenido, sino también de cambiar y eliminar información de su base de datos Cosmos de Microsoft Azure.

Para llegar a la base de datos Cosmos, primero la firma de seguridad obtuvo acceso a las claves primarias de la base de datos de los clientes. Las claves primarias son “el santo grial para los atacantes” ya que son de larga duración y permiten un acceso completo de lectura, escritora y eliminación de los datos. Hay que recordar que en 2019, Microsoft añadió una función llamada Jupyter Notebook a Cosmos DB que permite a los clientes visualizar sus datos y crear vistas personalizadas y así fue como se llegó al objetivo. La función se activó automáticamente para todas las bases de datos de Cosmos en febrero de 2021.

Wiz recuerda que algunas de las empresas que utilizan esta base de datos Cosmos son gigantes como Coca-Cola, Exxon-Mobil y Citrix, como se puede ver en la propia web oficial de este servicio. 

Microsoft no puede cambiar esas claves por sí mismo, el jueves envió un correo electrónico a los clientes diciéndoles que crearan otras nuevas. Microsoft ha acordado pagar a Wiz 40.000 dólares por encontrar el fallo y denunciarlo, según un correo electrónico que envió a Wiz. Eso sí, los portavoces de Microsoft no han comentado nada más sobre este problema de seguridad.

Para mitigar la falla, las organizaciones deben regenerar su clave principal de la base de datos de Cosmos siguiendo la guía proporcionada por Microsoft. Los expertos también recomiendan revisar toda la actividad pasada en su cuenta de Cosmos DB. 

En un mail que la firma de Redmond remitió a Wiz lo que dicen desde la empresa es que Microsoft había corregido la vulnerabilidad y que no había pruebas de que el fallo hubiera sido explotado. “No tenemos indicios de que entidades externas al investigador (Wiz) hayan tenido acceso a la clave principal de lectura y escritura”, dice el correo.

“Esta es la peor vulnerabilidad en la nube que se pueda imaginar”, dijo Luttwak a Reuters. “Esta es la base de datos central de Azure, y en nuestra investigación pudimos acceder a cualquier base de datos de todos los clientes que quisiéramos“. El equipo de Luttwak encontró el problema, bautizado como ChaosDB, el 9 de agosto y lo notificó a Microsoft el 12 de agosto, dijo Luttwak, aunque no se ha conocido hasta hace unas horas. 


  • Bitcoin
  • Ethereum
  • MetaMask (ETH)
  • Tether
  • Cardano
  • Binance coin
  • Litecoin
  • Bitcoin cash
  • Dogecoin
  • Usdcoin
  • Tezos
  • Dash
  • Polygon matic
Scan to Donate Bitcoin to 1HmdivQr2qMtifWAhQ8NBF1p3MfjqF47Wt

Donar Bitcoin a la siguiente dirección

Escanee el código QR o copie la dirección a continuación en su billetera para enviar Bitcoin

Tag/Note:- Bitcoin Network
Scan to Donate Ethereum to 0x3c4D732e3CdFC17C8b9952929c972Ed6d4c43ba3

Donar Ethereum a la siguiente dirección

Escanee el código QR o copie la dirección a continuación en su billetera para enviar Ethereum

Tag/Note:- Ethereum

Donar con MetaMask

Donar Ether via MetaMask

Tag/Note:- MetaMask
Scan to Donate Tether to 0x7d9ddbe3261244895bf41d6f97f85b8f26ed3a14

Donar Tether a la siguiente dirección

Escanee el código QR o copie la dirección a continuación en su billetera para enviar Tether

Tag/Note:- BSC - Binance Smart Chain
Scan to Donate Cardano to DdzFFzCqrhsjhzp8WQGgA4tc3Un6VFdAVFRw7vdoU9oY1thqZDTB1Fwt7uxuEDrM4mTHGPR7uBW1pHGeYNw1kHodtL71p2rU1Bet4BPH

Donar Cardano a la siguiente dirección

Escanee el código QR o copie la dirección a continuación en su billetera para enviar Cardano

Tag/Note:- ADA Network Wallet
Scan to Donate Binance coin to 0x7d9ddbe3261244895bf41d6f97f85b8f26ed3a14

Donar Binance coin a la siguiente dirección

Escanee el código QR o copie la dirección a continuación en su billetera para enviar Binance coin

Tag/Note:- Binance Smart Chain - (BEP20)
Scan to Donate Litecoin to ltc1qmgdsrq4k5aqyvvf60r92xhug8kfga9qxt6l028

Donar Litecoin a la siguiente dirección

Escanee el código QR o copie la dirección a continuación en su billetera para enviar Litecoin

Scan to Donate Bitcoin cash to bitcoincash:qqmnvaxcygkkhjul3wzut6m5kdfg4jej0g295jhqzx

Donar Bitcoin cash a la siguiente dirección

Escanee el código QR o copie la dirección a continuación en su billetera para enviar Bitcoin cash

Scan to Donate Dogecoin to DDxQnPkAseJ4MTeh7pVKEyQ5A9JJDvYVtk

Donar Dogecoin a la siguiente dirección

Escanee el código QR o copie la dirección a continuación en su billetera para enviar Dogecoin

Tag/Note:- Doge Network Wallet
Scan to Donate Usdcoin to 0x7d9ddbe3261244895bf41d6f97f85b8f26ed3a14

Donar Usdcoin a la siguiente dirección

Escanee el código QR o copie la dirección a continuación en su billetera para enviar Usdcoin

Tag/Note:- ERC20 Network
Scan to Donate Tezos to tz1fgUCKxDRVjzGVmEuvrY7yzuuGvFoBc29X

Donar Tezos a la siguiente dirección

Escanee el código QR o copie la dirección a continuación en su billetera para enviar Tezos

Tag/Note:- XTZ Network
Scan to Donate Dash to XjcrHkfsyXkQQp9eNQYvqmgaPahu2qYXHZ

Donar Dash a la siguiente dirección

Escanee el código QR o copie la dirección a continuación en su billetera para enviar Dash

Tag/Note:- Dash Network
Scan to Donate Polygon matic to 0x7d9ddbe3261244895bf41d6f97f85b8f26ed3a14

Donar Polygon matic a la siguiente dirección

Escanee el código QR o copie la dirección a continuación en su billetera para enviar Polygon matic

Tag/Note:- POLYGON - MATIC

Fuente (s ) :