Sicherheitsforscher von Wiz haben eine schwerwiegende Azure Cosmos DB Sicherheitslücke offengelegt. Über eine Angriffskette mit dem Namen CosmosEscape konnten sie einen Schlüssel erbeuten, der Zugriff auf Datenbanken über Kunden- und Regionsgrenzen hinweg gab. Microsoft hat das Problem inzwischen vollständig behoben. Trotzdem ist der Fall eine wichtige Lehre über die Risiken geteilter Infrastruktur.
Wie die Azure Cosmos DB Sicherheitslücke funktionierte
Der Einstieg war eine präparierte Abfrage gegen eine von den Forschern selbst kontrollierte Gremlin-Datenbank. Damit brachen sie aus der abgeschotteten Abfrage-Umgebung (Sandbox) aus und erreichten Codeausführung auf einem Gateway, das mehrere Kunden gemeinsam nutzen.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Auf diesem mandantenübergreifenden Gateway lag ein plattformweites Signaturgeheimnis sowie ein regionales Konto-Verzeichnis. Wiz taufte diesen mächtigen Schlüssel den „Cosmos Master Key“. Das Entscheidende: Der Schlüssel war nicht auf einen einzelnen Kunden oder eine Region beschränkt.
Ein Schlüssel für alles
Der Master Key funktionierte über Tenants, Regionen und sogar verschiedene API-Formate hinweg – darunter SQL, MongoDB, Cassandra und Gremlin. Mit ihm ließ sich ein Zielkonto ausfindig machen und dessen primärer Kontoschlüssel abrufen. In der Theorie bedeutete das lesenden und schreibenden Zugriff auf fremde Datenbanken. Genau diese Art fest verankerter, zu breit gültiger Geheimnisse ist in Cloud-Umgebungen besonders gefährlich.
Was Microsoft unternommen hat
Wiz meldete die Schwachstelle im November 2025. Microsoft sperrte den verwundbaren Gremlin-Einstieg nach Angaben der Forscher innerhalb von 48 Stunden. Die vollständige Behebung über alle Regionen hinweg schloss Microsoft im Juli 2026 ab und entfernte dabei den plattformweiten Schlüssel.
- Kein Handlungsbedarf für Kunden: Da die Lücke serverseitig in der Cloud lag, mussten Nutzer nichts installieren. Der Fix greift automatisch.
- Kein bekannter Missbrauch: Microsoft erklärt, es gebe keine Hinweise auf eine Ausnutzung durch echte Angreifer oder auf betroffene Kundendaten.
- Gute Praxis bleibt: Wer kann, sollte Cosmos-DB-Kontoschlüssel regelmäßig rotieren und auf rollenbasierte Zugriffe setzen.
Der Fall reiht sich in eine Serie von Lücken in Microsofts Ökosystem ein – zuletzt etwa bei SharePoint mit CVE-2026-50522. Der Unterschied hier: Diese Lücke betraf die geteilte Cloud-Plattform selbst, nicht eine Software beim Kunden.
Klartext zum Schluss
CosmosEscape ist geschlossen, und das Zusammenspiel von Wiz und Microsoft hat funktioniert. Die eigentliche Botschaft ist grundsätzlicher: Kein Cloud-Anbieter ist gegen Fehler gefeit, und geteilte Mandanten-Infrastruktur bündelt Risiken. Wer sensible Daten in die Cloud legt, sollte Zugriffe eng schneiden und Geheimnisse rotieren – auch dann, wenn der Anbieter seine Hausaufgaben macht.
Quellen
- Wiz: CosmosEscape – Taking Over Every Database in Azure Cosmos DB
- The Hacker News: Azure Cosmos DB Flaw Exposed Platform-Wide Key (30.07.2026)
- SC Media: Critical Azure Cosmos DB flaw risked cross-tenant compromise
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden