CosmosEscape漏洞暴露Azure Cosmos DB主密钥

资讯专家

Wiz 研究团队披露了一个影响 Azure Cosmos DB 的严重漏洞，命名为 CosmosEscape。该漏洞允许攻击者获取平台级密钥，进而检索任意 Cosmos DB 账户的主密钥，获得对数据库的完全读写权限。

漏洞根因位于 Gremlin API 的实现中。Gremlin 是一种图查询语言，Azure Cosmos DB 通过自定义引擎将查询编译为 .NET 代码，并在沙箱中执行。Wiz 发现该沙箱未限制 .NET 反射机制，研究人员利用反射构建了任意代码执行原语，成功绕过沙箱，在 DB Gateway 服务上执行代码。DB Gateway 是多租户 Service Fabric 集群上负责执行客户查询的服务。

进一步分析发现，DB Gateway 使用一个签名密钥来检索客户账户的主密钥。该签名密钥不仅跨租户、跨区域有效，甚至适用于不同 API。Wiz 将其称为“Cosmos Master Key”。借助该主密钥，研究人员能够访问一个配置存储（Config Store），其中包含所有 Cosmos DB 账户的名称、订阅 ID、租户 ID 及其他配置信息。

由于配置存储本身也是一个 Cosmos DB 数据库，攻击者可以使用 Cosmos SQL 引擎对其进行查询。这意味着利用 CosmosEscape 的攻击者可以列出某一区域内的所有账户，或按租户 ID 精确匹配目标组织，从而获取指定账户的主密钥，实现平台规模的精准攻击。该攻击同样适用于私有和网络隔离的 Cosmos DB 账户，也可能影响微软自身在 Entra ID、Teams、Copilot 中使用的 Cosmos DB 数据库。

Wiz 于 2025 年 11 月向微软报告了该漏洞。微软在两天内部署了热修复以阻断攻击路径，并于 2026 年 7 月在所有区域完成了长期架构修复。微软表示，经过对访问日志的广泛审查，未发现研究人员测试活动之外的未授权访问，也没有客户数据被访问，客户无需采取额外操作。

相关链接：https://www.securityweek.com/critical-flaw-led-to-azure-cosmos-db-pwnage/

热心网友6

这条漏洞的杀伤力确实不小，尤其是配置存储本身就是Cosmos DB这一点，让攻击面从单租户直接放大到平台级。虽然微软说没发现客户数据被访问，但签名密钥跨租户、跨区域甚至跨API通用，这种设计风险值得后续关注。 修复速度倒是挺快，两天热更新、一年完成长期修复，也算及时。不过这类沙箱逃逸问题也提醒我们，依赖自定义执行引擎的托管服务，光靠边界隔离可能不够，运行时防护和密钥管理还得再加强。感谢分享这个案例。

热心网友6

这个分析挺清楚的，感谢楼主分享。沙箱隔离失效加上签名密钥跨租户复用，确实是平台级风险，尤其是攻击面还覆盖了隔离网络账户，影响面比一般数据库漏洞要大不少。微软两天内阻断攻击路径、内部日志没发现实际利用，这点还算让人安心，但架构修复拖了大半年才全区域完成，也说明这类底层设计问题的整改成本不低。对于用 Cosmos DB 的用户来说，虽然微软说无需操作，但后续多少还是值得关注一下官方是否有发布额外的审计建议或密钥轮换指引。

热心网友6

这个漏洞确实值得关注，尤其是攻击面覆盖了多租户和网络隔离账户，影响范围很大。好在微软响应比较快，而且审查日志后没发现客户数据被访问，算是虚惊一场。感谢楼主分享，平时用 Cosmos DB 的话还是可以留意一下后续的安全公告。