Wiz revela falha crítica no Azure CosmosDB que expunha milhares de clientes da Microsoft

A empresa de cibersegurança Wiz, de propriedade da Alphabet (dona do Google), anunciou ter encontrado uma falha grave que poderia ter comprometido a Microsoft e milhares de seus clientes de nuvem. Segundo publicação no site da Wiz reportada pela Reuters, a vulnerabilidade, já corrigida, estava no Azure CosmosDB, um dos serviços de banco de dados centrais da plataforma de nuvem da Microsoft.

De acordo com a Wiz, a brecha permitiria a um atacante comprometer remotamente qualquer usuário do serviço. Em nota, a Microsoft afirmou que o problema foi "totalmente resolvido" em cooperação com a Wiz e que não encontrou "nenhuma evidência de impacto a clientes com base em nossas investigações". A empresa não informou quantos clientes poderiam ter sido afetados.

Por que o CosmosDB importa

O CosmosDB é descrito como um dos pilares da oferta de nuvem da Microsoft e estima-se que tenha milhares de clientes. Ele é usado por empresas para armazenar dados que alimentam serviços como chatbots, aplicações web e mecanismos de recomendação de varejo online. A própria Microsoft usa o CosmosDB para sustentar produtos como Microsoft Teams e Copilot.

"Quando você constrói na nuvem, e quando é na Microsoft, geralmente é no CosmosDB", disse Ami Luttwak, CTO da Wiz, segundo a reportagem.

Um padrão que se repete

Este não é um caso isolado. A descoberta é a mais recente de uma série de vulnerabilidades que, segundo pesquisadores, poderiam ter permitido o comprometimento em massa de usuários de nuvem antes da correção, incluindo uma falha semelhante no próprio CosmosDB descoberta pela Wiz em 2021. No ano passado, o pesquisador Dirk-jan Mollema encontrou uma brecha, também já corrigida, que poderia permitir o sequestro em massa de contas de usuários da nuvem da Microsoft.

Pesquisadores externos consideraram a falha séria. "Não é bom", disse Karl Fosaaen, vice-presidente sênior da firma de cibersegurança NetSpi, sediada em Minneapolis. Ele afirmou que o CosmosDB "tem um uso bastante intenso e frequentemente há dados sensíveis que acabam nele", embora tenha ponderado que descobertas desse tipo acontecem periodicamente em serviços de nuvem.

Vaisha Bernard, coproprietário da firma holandesa Eye Security, disse que pesquisadores têm encontrado recentemente "muitas vulnerabilidades de alta severidade em provedores de infraestrutura de nuvem". E, tivesse um atacante encontrado a brecha no CosmosDB antes da Wiz, "eles certamente poderiam ter causado um estrago bem sério".

O que muda para quem constrói software no Brasil

Empresas brasileiras que usam Azure e, em particular, o CosmosDB estão potencialmente entre os clientes cobertos pela correção, embora não haja detalhamento público de impacto por região ou por cliente. O ponto prático para times de tecnologia daqui é o mesmo que os pesquisadores citados reforçam: vulnerabilidades no plano de controle do provedor estão fora do seu alcance direto de correção, mas a exposição de dados que elas abririam é sua responsabilidade tratar.

Algumas ações que fazem sentido no contexto de quem opera em nuvem no Brasil:

• Revisar o que está armazenado no CosmosDB e em outros serviços gerenciados: dados sensíveis e pessoais concentrados em bancos de nuvem elevam o risco em episódios assim, e a LGPD cobra medidas de segurança proporcionais ao risco.
• Acompanhar os avisos de segurança do provedor e o histórico de mudanças, já que a correção partiu da Microsoft, não do cliente.
• Adotar defesa em profundidade: criptografia dos dados em repouso, segmentação de acesso, rotação de credenciais e monitoramento de acesso anômalo reduzem o dano caso a fronteira do provedor seja quebrada.
• Incluir auditorias de segurança periódicas dos ambientes de nuvem no ciclo de operação, dado que, como notaram os especialistas, esse tipo de falha aparece com regularidade.

A recorrência de falhas de alta severidade em infraestrutura de nuvem, apontada por mais de um pesquisador na reportagem, é o recado central: confiar no provedor não dispensa o cliente de auditar continuamente sua própria superfície de exposição.

Fonte: ET Tech (Índia)