Azure Cosmos DBの脆弱性「CosmosEscape」により全データベースが侵害される可能性、Wiz Researchが発見
CosmosEscape: Taking over Every Database in Azure Cosmos DB
Wiz Researchは、Azure Cosmos DBのGremlin APIに「CosmosEscape」と呼ばれる重大な脆弱性を発見しました。この脆弱性を悪用されると、Microsoft自身の内部データベースを含む、Azure Cosmos DBの全データベースが侵害される可能性がありました。攻撃者は「Cosmos Master Key」と呼ばれるプラットフォーム全体の秘密鍵を入手でき、これにより任意のCosmos DBアカウントのプライマリキーを取得して読み書き権限を完全に掌握したり、サブスクリプションIDやテナントIDでフィルタリングして全データベースを列挙したりすることが可能になります。この脆弱性は、Microsoft Entra ID、Microsoft Teams、Microsoft Copilotなどのサービスが利用するCosmos DBにも影響を及ぼす可能性がありました。Microsoftは既にこの問題を完全に修正し、Cosmos Master Keyを廃止するとともに、同様の攻撃を防ぐための新たなガードレールを導入しました。顧客による対応は不要です。この脆弱性は2025年11月20日にWiz ResearchからMicrosoftに報告され、2026年7月30日に公開されました。
- Wiz ResearchがAzure Cosmos DBのGremlin APIに「CosmosEscape」と呼ばれる重大な脆弱性を発見。攻撃によりCosmos Master Keyを入手し、すべてのCosmos DBデータベースが侵害される可能性があった。
- Microsoftは本脆弱性を修正完了し、Cosmos Master Keyを廃止するとともに新たなガードレールを導入した。
本件はクラウドセキュリティの根幹に関わる重大事例であり、特に「プラットフォーム全体の秘密鍵(Cosmos Master Key)」が漏洩しうる設計上の課題が露呈した点が重要。Microsoftは迅速に修正したものの、クラウドデータベースのマルチテナント分離の難しさと、一度の脆弱性で全テナントが影響を受けうる設計リスクを示している。サイバーセキュリティ投資の観点では、クラウドインフラの潜在的なリスク評価や、脆弱性診断(特にWizのようなクラウドセキュリティ企業)への需要拡大に注目すべき。