หัวข้อ: ช่องโหว่ Azure Cosmos DB เผยคีย์ระดับแพลตฟอร์มที่สามารถเข้าถึงฐานข้อมูลใดก็ได้

ช่องโหว่ที่ได้รับการแก้ไขแล้วใน Azure Cosmos DB อาจทำให้ผู้โจมตีสามารถหลบหนีจาก sandbox (พื้นที่จำกัดการทำงาน) ของ Gremlin query (ภาษาคิวรีสำหรับกราฟฐานข้อมูล) และได้รับสิทธิ์อ่าน-เขียนแบบเต็มในฐานข้อมูลของผู้เช่ารายอื่น ตามรายงานของ Wiz บริษัทด้านความปลอดภัย ซึ่งตั้งชื่อช่องโหว่ลูกโซ่นี้ว่า CosmosEscape ระบุว่าจุดเริ่มต้นของลูกโซ่การโจมตีคือการส่ง query ที่ถูกออกแบบมาเป็นพิเศษไปยังฐานข้อมูล Gremlin ที่ผู้โจมตีควบคุม จากนั้นจึงสามารถรันโค้ดบนเซิร์ฟเวอร์ได้

แหล่งที่มา: thehackernews

คำศัพท์เทคนิคที่น่าสนใจ

• Azure Cosmos DB – บริการฐานข้อมูลคลาวด์ของไมโครซอฟท์ที่รองรับข้อมูลหลายรูปแบบ เช่น เอกสาร กราฟ และคีย์-ค่า
• sandbox – พื้นที่จำกัดการทำงานที่แยกโค้ดหรือโปรแกรมออกจากระบบหลักเพื่อป้องกันความเสียหายหรือการเข้าถึงข้อมูลที่ไม่ได้รับอนุญาต
• Gremlin query – ภาษาคิวรีที่ใช้ค้นหาและจัดการข้อมูลในฐานข้อมูลแบบกราฟ ซึ่งเน้นการเชื่อมโยงระหว่างข้อมูล
• query – คำสั่งที่ใช้ในการค้นหา ดึงข้อมูล หรือจัดการข้อมูลในฐานข้อมูล
• ผู้เช่ารายอื่น – ผู้ใช้บริการรายอื่นที่ใช้ทรัพยากรหรือบริการคลาวด์เดียวกัน แต่แยกกันอย่างเป็นอิสระ
• รันโค้ด – การประมวลผลหรือทำงานตามคำสั่งของโปรแกรมคอมพิวเตอร์
• เซิร์ฟเวอร์ – เครื่องคอมพิวเตอร์แม่ข่ายที่ให้บริการหรือจัดการทรัพยากรให้กับเครื่องลูกข่ายอื่นในเครือข่าย