CosmosEscape: Eine inzwischen geschlossene Sicherheitslücke in Microsoft Azure hätte weitreichende Folgen für Unternehmen haben können. Sicherheitsforscher von Wiz entdeckten eine Schwachstellenkette in Azure Cosmos DB, über die Angreifer unter bestimmten Voraussetzungen Zugriff auf Datenbanken anderer Kunden hätten erhalten können.
Die Security-Experten von Wiz bezeichneten die Schwachstelle als CosmosEscape. Das Problem lag in der Gremlin-Schnittstelle von Azure Cosmos DB, die unter anderem für die Arbeit mit Graphdatenbanken eingesetzt wird. Nach Angaben der Sicherheitsforscher konnten sie die dort vorgesehenen Sicherheitsbeschränkungen umgehen und aus einer isolierten Ausführungsumgebung ausbrechen. Auf diese Weise war es möglich, Code auf einem internen Gateway des Dienstes auszuführen.
Cosmos Master Key: Voller Zugriff auf alles!
Im weiteren Verlauf ihrer Analyse stießen die Forscher auf einen besonders weitreichenden Zugangsschlüssel. Dieser sogenannte „Cosmos Master Key“ war nicht auf ein einzelnes Kundenkonto beschränkt, sondern besaß plattformweite Berechtigungen. Mit ihm hätten sich die primären Zugriffsschlüssel beliebiger Cosmos-DB-Konten abrufen lassen. Ein Angreifer hätte damit Datenbanken auslesen, verändern oder löschen können – auch über Grenzen zwischen verschiedenen Kunden und Regionen hinweg.
Zusätzlich konnten die Forscher nach eigenen Angaben Informationen über vorhandene Datenbankkonten abrufen. Dazu gehörten unter anderem Konto- und Mandantenkennungen sowie Hinweise auf Netzwerkkonfigurationen. Diese Funktion hätte Angreifern die gezielte Suche nach bestimmten Unternehmen und deren Cloud-Ressourcen erleichtert.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenExterne Kunden und auch Microsoft selbst betroffen
Das Risiko beschränkte sich nicht nur auf externe Kunden. Microsoft nutzt Azure Cosmos DB auch für eigene Dienste, darunter Entra ID, Microsoft Teams und Copilot. Ein erfolgreicher Angriff hätte deshalb möglicherweise Auswirkungen auf weitere Cloud-Angebote und zentrale Unternehmensfunktionen haben können. Wiz spricht in diesem Zusammenhang von einem potenziellen plattformübergreifenden Angriff.
Die Sicherheitsforscher meldeten ihre Entdeckung bereits am 20. November 2025 an Microsoft. Nach Angaben von Wiz blockierte Microsoft den unmittelbaren Angriffsweg innerhalb von 48 Stunden. Die vollständige Überarbeitung der betroffenen Sicherheitsarchitektur dauerte jedoch mehrere Monate und wurde im Juli 2026 abgeschlossen. Dabei entfernte Microsoft den plattformweiten Master Key und setzte zusätzliche Schutzmaßnahmen um.
Microsoft erklärte, die Schwachstelle sei vollständig behoben. Eine Untersuchung der Protokolle habe keine Hinweise darauf ergeben, dass die Lücke außerhalb der kontrollierten Tests von Wiz ausgenutzt wurde. Auch gebe es keine Anzeichen für eine Beeinträchtigung von Kundendaten. Für Nutzer von Azure Cosmos DB seien daher keine Änderungen an Passwörtern, Zugangsschlüsseln oder Konfigurationen erforderlich.
Mehr bei Wiz.io