MameTechNews
← 記事一覧に戻る
バックエンド

WizがAzure Cosmos DBのCosmosEscapeを公開、マスターキー問題を修正済み

## POINTS

  • Gremlinサンドボックス脱出から、全Cosmos DBアカウントの鍵取得につながる連鎖だった
  • Microsoftは入口を48時間で塞ぎ、マスターキー排除の長期修正を2026年7月に完了した
  • 修正済みで顧客側パッチは不要だが、マルチテナント秘密の設計リスクは重要な教訓になる

概要

クラウドセキュリティ企業Wizは、Azure Cosmos DBにおける重大な脆弱性連鎖「CosmosEscape」を公開した。Gremlin APIのサンドボックス脱出から始まり、プラットフォーム全体で使える「Cosmos Master Key」の取得に至る経路が示されている。

攻撃の流れ

研究者は自アカウントのGremlinクエリを起点に、.NETリフレクション不足を突いてDB Gateway上でコード実行を得た。そこからアカウント横断でプライマリキーを取得できる署名鍵（Cosmos Master Key）と、アカウント一覧を持つConfig Storeへ到達できたという。影響範囲には顧客DBに加え、Cosmos DBを基盤とするMicrosoft内部サービス側のデータも含まれ得たと説明されている。

対応状況

  • 2025年11月20日にWizが報告、48時間以内にGremlin経路をホットフィックス
  • 2026年7月に長期的なアーキテクチャ修正を全リージョンへ展開
  • Microsoftは研究者テスト以外の不正利用や顧客データアクセスの証拠はないとし、顧客対応は不要と表明

Black Hat USAでの詳細解説も予定されている。