Microsoft: Forscher finden Masterkey für Vollzugriff auf Azure-Datenbanken

Eine kritische Sicherheitslücke in Azure Cosmos DB

Sicherheitsforscher des Unternehmens Wiz haben eine gravierende Schwachstelle im Datenbankdienst Azure Cosmos DB von Microsoft identifiziert. Die unter dem Namen „CosmosEscape“ bekannte Lücke hätte es Angreifern theoretisch ermöglicht, einen sogenannten Masterkey zu erlangen. Ein solcher Schlüssel hätte weitreichende Konsequenzen gehabt: Er bot die Möglichkeit, auf die Datenbanken sämtlicher Nutzer zuzugreifen, diese auszulesen und sogar zu manipulieren. Dies betraf laut den Berichten nicht nur externe Kunden, sondern auch die internen Datenbanken von Microsoft selbst.

Der Weg zum Masterkey: Technische Hintergründe

Der Zugriff auf den Masterkey war laut den Erkenntnissen der Forscher an eine komplexe Angriffskette gebunden. Die Sicherheitslücke befand sich auf einem Datenbank-Gateway. Um dieses zu erreichen, mussten die Forscher zunächst aus einer Sandbox ausbrechen. Dies gelang durch die Verwendung speziell präparierter Gremlin-Abfragen.

Sobald der Zugriff auf das Gateway erreicht war, fungierte der Masterkey als universelles Werkzeug. Er erlaubte es, die Primärschlüssel für beliebige Cosmos-DB-Konten abzurufen. Damit erhielten Angreifer nicht nur uneingeschränkten Lese- und Schreibzugriff auf die betroffenen Datenbanken, sondern konnten auch sämtliche Datenbanken in verschiedenen Regionen auflisten. Durch Filterfunktionen, etwa nach Tenant- oder Abonnement-IDs, wäre eine gezielte Auswahl von Zielorganisationen möglich gewesen. Die Forscher betonten, dass dieser Angriff über öffentlich zugängliche Endpunkte hätte durchgeführt werden können.

Zeitlicher Ablauf und Reaktion des Herstellers

Die Entdeckung der Schwachstelle erfolgte bereits am 20. November 2025. Nach der Meldung durch die Sicherheitsexperten reagierte Microsoft innerhalb von zwei Tagen mit der Implementierung eines ersten Hotfix, um das unmittelbare Risiko zu minimieren. Eine finale Korrektur wurde im Juli 2026 abgeschlossen. Erst nach diesem Abschluss erfolgte die offizielle Offenlegung der Details durch Wiz.

Microsoft hat nach eigenen Angaben den Masterkey mittlerweile vollständig entfernt und zusätzliche Sicherheitsmechanismen in die Plattform integriert. Ziel dieser Maßnahmen ist es, vergleichbare Angriffsvektoren in der Zukunft zu unterbinden. Bisher gibt es keine Hinweise darauf, dass die Schwachstelle vor ihrer Entdeckung durch Wiz von unbefugten Dritten ausgenutzt wurde.

Einordnung und Ausblick

Für die Nutzer des Datenbankdienstes Azure Cosmos DB besteht nach derzeitigem Stand kein akuter Handlungsbedarf. Die Sicherheitslücke verdeutlicht jedoch die Komplexität moderner Cloud-Infrastrukturen, bei denen ein einzelner, falsch gesicherter Schlüssel theoretisch weitreichende Auswirkungen auf die gesamte Plattform haben kann.

Die vollständige Dokumentation der Angriffskette sowie weitere technische Details zu „CosmosEscape“ sollen im Rahmen der Hackerkonferenz Black Hat 2026 in Las Vegas am 6. August vorgestellt werden. Diese Offenlegung dient der Transparenz und soll dazu beitragen, das Verständnis für derartige Sicherheitsrisiken in Cloud-Umgebungen zu schärfen.