Investigadores de la firma de seguridad Wiz revelaron este lunes el hallazgo de una vulnerabilidad crítica en Azure Cosmos DB, el servicio estrella de bases de datos de Microsoft, que de haber sido explotada por actores malintencionados habría permitido tomar el control absoluto de cualquier base de datos alojada en la plataforma, incluidas las utilizadas internamente por Microsoft para servicios como Teams, Entra ID y Copilot. La falla, bautizada como CosmosEscape, fue corregida por completo antes de su divulgación pública, según confirmaron ambas compañías.
Según el informe publicado por Wiz Research, la vulnerabilidad residía en la API Gremlin de Cosmos DB, un lenguaje de consulta para bases de datos de grafos. Los investigadores descubrieron que el motor de Cosmos DB traducía las consultas Gremlin a código .NET y aplicaba restricciones para evitar que las consultas escaparan del entorno controlado. Sin embargo, esas restricciones no contemplaban adecuadamente el uso de reflexión de .NET, lo que permitió a los investigadores desarrollar primitivas de lectura y escritura de archivos, y finalmente ejecutar código arbitrario en el backend del servicio, todo ello enviando consultas aparentemente normales a su propia base de datos.
Una vez logrado el acceso al backend, los investigadores identificaron lo que denominaron la Cosmos Master Key, una clave de firma con alcance de toda la plataforma que podía recuperar la clave primaria de cualquier cuenta de Cosmos DB. Esta clave maestra otorgaba dos capacidades extremadamente peligrosas: en primer lugar, permitía recuperar bajo demanda la clave primaria de cualquier cuenta del servicio, lo que concedía acceso total de lectura y escritura; en segundo lugar, daba acceso al Config Store, un registro regional de todas las cuentas de Cosmos DB con nombres de cuentas, identificadores de suscripción, identificadores de inquilino y configuraciones de red.
La combinación de ambas capacidades habilitaba una cadena de ataque devastadora: un atacante podía consultar el Config Store para enumerar todas las cuentas de Cosmos DB en una región, filtrar por identificador de inquilino o suscripción para apuntar a una organización específica, y luego utilizar la clave maestra para obtener la clave primaria de la cuenta objetivo, accediendo a la totalidad de sus datos. Lo más alarmante, según Wiz, es que las bases de datos privadas y aisladas por red tampoco estaban a salvo, ya que el componente comprometido era el responsable de hacer cumplir el aislamiento de red.
El alcance potencial iba más allá de los clientes corporativos. Cosmos DB funciona como infraestructura fundamental para numerosos servicios de Microsoft y Azure, lo que significa que las bases de datos internas de la propia compañía también quedaron expuestas durante el período en que la vulnerabilidad estuvo vigente.
Microsoft confirmó que la vulnerabilidad fue reportada de forma responsable a través del proceso de Divulgación Coordinada de Vulnerabilidades y que tomó medidas inmediatas. Según la compañía, el equipo de ingeniería desarrolló una mitigación en menos de 48 horas tras la notificación y la desplegó para bloquear el vector de entrada. Además, la empresa realizó pruebas de penetración exhaustivas en busca de vectores de ataque similares, sin identificar otros.
Microsoft aseguró que llevó a cabo una investigación minuciosa de los registros de acceso y no encontró evidencia de actividad no autorizada fuera de las pruebas realizadas por los investigadores de Wiz, y que ningún dato de clientes fue accedido. No se requiere ninguna acción por parte de los usuarios, según ambas compañías.
Como parte de la remediación completa, Microsoft eliminó la existencia misma de la Cosmos Master Key, introdujo nuevas barreras de protección en Cosmos DB y trabajó durante semanas en una migración mayor hacia una arquitectura más robusta. La compañía también reforzó la autenticación entre servicios e introdujo nuevas capacidades de protección de red, monitoreo y detección.
El descubrimiento fue asistido por una versión temprana de Atlas, la nueva herramienta de investigación de vulnerabilidades basada en inteligencia artificial que Wiz anunció recientemente. La firma de seguridad adelantó que habrá más novedades sobre Atlas en las próximas semanas.
Este caso pone de relieve un riesgo estructural de los servicios cloud multilocatario: cuando una vulnerabilidad compromete una capa de infraestructura, el efecto puede propagarse hacia arriba en cascada, amenazando todos los servicios construidos sobre ella. Los investigadores subrayan la necesidad de establecer límites de aislamiento sólidos alrededor de la ejecución controlada por el inquilino, con superficies de ataque pequeñas y auditadas, y de tratar todos los recursos internos como no confiables desde el punto de vista de seguridad.