Azure Cosmos DB Sicherheitslücke: CosmosEscape legte Master-Key frei

Sicherheitsforscher von Wiz haben eine schwerwiegende Azure Cosmos DB Sicherheitslücke offengelegt. Über eine Angriffskette mit dem Namen CosmosEscape konnten sie einen Schlüssel erbeuten, der Zugriff auf Datenbanken über Kunden- und Regionsgrenzen hinweg gab. Microsoft hat das Problem inzwischen vollständig behoben. Trotzdem ist der Fall eine wichtige Lehre über die Risiken geteilter Infrastruktur.

Wie die Azure Cosmos DB Sicherheitslücke funktionierte

Der Einstieg war eine präparierte Abfrage gegen eine von den Forschern selbst kontrollierte Gremlin-Datenbank. Damit brachen sie aus der abgeschotteten Abfrage-Umgebung (Sandbox) aus und erreichten Codeausführung auf einem Gateway, das mehrere Kunden gemeinsam nutzen.

Auf diesem mandantenübergreifenden Gateway lag ein plattformweites Signaturgeheimnis sowie ein regionales Konto-Verzeichnis. Wiz taufte diesen mächtigen Schlüssel den „Cosmos Master Key“. Das Entscheidende: Der Schlüssel war nicht auf einen einzelnen Kunden oder eine Region beschränkt.

Ein Schlüssel für alles

Der Master Key funktionierte über Tenants, Regionen und sogar verschiedene API-Formate hinweg – darunter SQL, MongoDB, Cassandra und Gremlin. Mit ihm ließ sich ein Zielkonto ausfindig machen und dessen primärer Kontoschlüssel abrufen. In der Theorie bedeutete das lesenden und schreibenden Zugriff auf fremde Datenbanken. Genau diese Art fest verankerter, zu breit gültiger Geheimnisse ist in Cloud-Umgebungen besonders gefährlich.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Was Microsoft unternommen hat

Wiz meldete die Schwachstelle im November 2025. Microsoft sperrte den verwundbaren Gremlin-Einstieg nach Angaben der Forscher innerhalb von 48 Stunden. Die vollständige Behebung über alle Regionen hinweg schloss Microsoft im Juli 2026 ab und entfernte dabei den plattformweiten Schlüssel.

• Kein Handlungsbedarf für Kunden: Da die Lücke serverseitig in der Cloud lag, mussten Nutzer nichts installieren. Der Fix greift automatisch.
• Kein bekannter Missbrauch: Microsoft erklärt, es gebe keine Hinweise auf eine Ausnutzung durch echte Angreifer oder auf betroffene Kundendaten.
• Gute Praxis bleibt: Wer kann, sollte Cosmos-DB-Kontoschlüssel regelmäßig rotieren und auf rollenbasierte Zugriffe setzen.

Der Fall reiht sich in eine Serie von Lücken in Microsofts Ökosystem ein – zuletzt etwa bei SharePoint mit CVE-2026-50522. Der Unterschied hier: Diese Lücke betraf die geteilte Cloud-Plattform selbst, nicht eine Software beim Kunden.

Klartext zum Schluss

CosmosEscape ist geschlossen, und das Zusammenspiel von Wiz und Microsoft hat funktioniert. Die eigentliche Botschaft ist grundsätzlicher: Kein Cloud-Anbieter ist gegen Fehler gefeit, und geteilte Mandanten-Infrastruktur bündelt Risiken. Wer sensible Daten in die Cloud legt, sollte Zugriffe eng schneiden und Geheimnisse rotieren – auch dann, wenn der Anbieter seine Hausaufgaben macht.

Quellen

• Wiz: CosmosEscape – Taking Over Every Database in Azure Cosmos DB
• The Hacker News: Azure Cosmos DB Flaw Exposed Platform-Wide Key (30.07.2026)
• SC Media: Critical Azure Cosmos DB flaw risked cross-tenant compromise