„CosmosEscape“ ermöglichte Übernahme aller Microsoft-Azure-Datenbanken

Eine kritische Schwachstelle in der Cloud-Infrastruktur

Sicherheitsforscher des Unternehmens Wiz haben eine schwerwiegende Sicherheitslücke in Microsofts Azure-Cloud-Plattform identifiziert, die unter dem Namen „CosmosEscape“ bekannt wurde. Diese Schwachstelle ermöglichte es potenziellen Angreifern, sich Zugriff auf sämtliche Datenbanken der Azure Cosmos DB zu verschaffen. Da Microsoft diesen Dienst für essenzielle interne Anwendungen wie Teams, Copilot und Entra ID nutzt, war das Ausmaß der potenziellen Bedrohung erheblich.

Der technische Hintergrund: Vom Gremlin-Stack zum Master Key

Die Entdeckung der Forscher basierte auf einer detaillierten Analyse der API-Abfragen für Gremlin. Dabei stießen die Experten auf spezifische .NET-Exceptions. Die Analyse zeigte, dass der Gremlin-Server Anfragen in ausführbaren Code übersetzt, der in einer isolierten Umgebung, der sogenannten Sandbox, ausgeführt werden sollte. Diese Sandbox erwies sich jedoch als unzureichend gesichert.

Durch die Ausnutzung dieser Schwäche gelang es den Forschern, Lese- und Schreibzugriffe zu erlangen und schließlich eigenen Code auf dem Cloud-Server auszuführen. Dies führte zu einer Eskalation der Berechtigungen, die es ermöglichte, Code auf dem Datenbank-Gateway auszuführen. Dieses Gateway dient als Schnittstelle für Kundenanfragen und läuft auf Service-Fabric-Clustern.

Die Rolle des „Cosmos Master Key“

Der entscheidende Punkt bei diesem Angriff war die Entdeckung eines plattformweit gültigen Schlüssels. Das Datenbank-Gateway griff auf einen Schlüssel zu, der nicht an einen spezifischen Account gebunden war, sondern über verschiedene Tenants, Regionen und Datenbank-APIs (wie SQL, MongoDB, Cassandra und Gremlin) hinweg funktionierte. Die Forscher bezeichneten diesen als „Cosmos Master Key“.

Mit diesem Schlüssel konnten die Primary Keys jeder beliebigen Cosmos-DB-Instanz über öffentlich zugängliche Endpunkte abgerufen werden. Zudem ermöglichte er den Zugriff auf den sogenannten Config Store, eine regionale Registry, die sensible Informationen wie Kontonamen, Subscription-IDs, Tenant-IDs und Netzwerkkonfigurationen enthielt. Da der Config Store selbst als Cosmos-DB implementiert war, ließ sich der Master Key dort auslesen, was den Zugriff auf sämtliche Konten innerhalb einer Region öffnete.

Reaktion und Behebung durch Microsoft

Nach der Meldung durch Wiz am 20. November 2025 reagierte Microsoft umgehend. Bereits zwei Tage später wurde ein erster Hotfix bereitgestellt. Der vollständige Prozess zur Beseitigung der Schwachstelle, einschließlich der Verteilung langfristiger Architekturänderungen über alle Regionen hinweg, erstreckte sich jedoch bis in den Juli 2026.

Laut Angaben von Microsoft wurden keine Hinweise auf eine unbefugte Nutzung der Schwachstelle durch Dritte in den Log-Dateien gefunden. Für Kunden des Cloud-Dienstes besteht kein Handlungsbedarf, da Microsoft das Problem vollständig behoben und zusätzliche Sicherheitsvorkehrungen implementiert hat, um ähnliche Angriffsvektoren in Zukunft zu verhindern.

Einordnung der Sicherheitslage

Der Vorfall erinnert an frühere Sicherheitsereignisse, etwa den Diebstahl eines Masterkeys für die Azure-Cloud im Sommer 2023, der das gesamte System kompromittierbar machte. Solche Vorfälle verdeutlichen die Komplexität der Absicherung von Cloud-Infrastrukturen, bei denen zentrale Schlüssel-Architekturen ein hohes Risiko darstellen können, wenn sie nicht ausreichend gegen unbefugte Zugriffe geschützt sind. Die Zusammenarbeit im Rahmen des Responsible-Disclosure-Prozesses zwischen Sicherheitsforschern und Cloud-Anbietern bleibt dabei ein wesentlicher Bestandteil, um solche kritischen Lücken zu schließen, bevor sie von böswilligen Akteuren ausgenutzt werden können.