Siber güvenlik araştırma şirketi Wiz, Microsoft'un popüler bulut veri tabanı hizmeti Azure Cosmos DB'de kritik bir güvenlik açığı keşfetti. "CosmosEscape" adı verilen bu açık, bir saldırganın hizmetin Gremlin sorgu motorundan kaçarak diğer müşterilere ait veri tabanlarına tam okuma ve yazma erişimi sağlamasına yol açabiliyordu.
Wiz'in açıklamasına göre saldırı, saldırganın kontrolündeki bir Gremlin veri tabanına gönderilen özel hazırlanmış bir sorguyla başlıyor. Araştırmacılar, bu sorgu aracılığıyla çok kiracılı yapıdaki bir ağ geçidinde (gateway) kod çalıştırmayı başardı. Bu adım, platform çapında bir imzalama anahtarına ve bölgesel hesap rehberine erişim sağlayarak hedef veri tabanının birincil hesap anahtarının ele geçirilmesine olanak tanıdı.
Microsoft, Kasım 2025'te kendisine bildirilen bu açığı 48 saat içinde geçici olarak kapatırken, kalıcı çözümü Temmuz 2026 itibarıyla tüm bölgelerde tamamladı. Şirket, bu süreçte platform çapındaki anahtarı tamamen ortadan kaldırdı ve Wiz'in testleri dışında herhangi bir yetkisiz erişim tespit etmediğini belirtti. Bu nedenle müşterilerin herhangi bir ek işlem yapmasına gerek olmadığı ifade ediliyor.
The Hacker News, açıktan etkilenen kapsam ve log inceleme süresi hakkında Microsoft'a, ayrıca istismar ön koşulları ve test kapsamı hakkında Wiz'e ulaştı. Haber, gelen yanıtlarla güncellenecektir.
Yayınlanan teknik detaylara göre açıktan yararlanma zinciri, mağdurun değil, saldırganın kendi kontrolündeki bir Gremlin veri tabanına ve bu hesabın kimlik bilgilerine erişimi gerektiriyor. Microsoft'un mevcut bağlantı kılavuzu, bir istemcinin Gremlin sorgusu gönderebilmesi için hesap sunucusu, veri tabanı, grafik yolu ve birincil anahtara sahip olmasını şart koşuyor.
Wiz'in teknik raporuna göre Cosmos DB'nin özel Gremlin motoru, sorguları .NET koduna çevirerek kısıtlı bir ortamda çalıştırıyor. Araştırmacılar, bu kısıtlamaların .NET'in yansıma (reflection) özelliğini engellemediğini fark etti. Bu sayede önce dosya okuma ve yazma araçları oluşturuldu, ardından keyfi kod çalıştırma aşamasına geçildi.
Kamuya açıklanan belgeler, Cosmos DB arka ucunda sistem komutu çalıştıran özel hazırlanmış bir sorgunun çıktısını gösteriyor ancak sorgunun kendisi paylaşılmadı. Wiz araştırmacıları, açığın tam zincirini 6 Ağustos'ta düzenlenecek Black Hat USA konferansında detaylı olarak sunacaklarını duyurdu.
