Microsoft a informé ses clients d'une vulnérabilité critique de fuite de données dans sa plateforme cloud Azure, après que la société de sécurité Wiz l’avait signalé.

Cette faille est liée au Jupyter Notebook intégré à Microsoft Azure Cosmos. Le Jupyter Notebook est une application web open-source qui permet aux utilisateurs d'organiser et de partager des documents contenant du code, du texte, etc.

Les chercheurs de Wiz ont détecté qu'en demandant des informations concernant un Jupyter Notebook Cosmos DB cible, on peut facilement obtenir des informations d'identification non seulement pour le Jupyter Notebook mais aussi pour le compte de stockage du Jupyter Notebook d'un autre utilisateur.

Jupyter Notebook est ciblé car il possède une fonctionnalité de Cosmos DB, avec l'aide de laquelle l'acteur malveillant peut demander des informations concernant le Jupyter Notebook Cosmos DB cible qui comprend également la clé primaire.

Une fois que les acteurs de la menace ont obtenu toutes ces informations d'identification, ils peuvent facilement visualiser, modifier et supprimer des données dans le compte Cosmos DB cible.

Microsoft recommande aux clients de renouveler les clés primaires de Cosmos DB "par excès de prudence", et a fait remarquer que les comptes Azure Cosmos DB dotés d'un vNET ou d'un pare-feu sont protégés par des mécanismes de sécurité supplémentaires qui permettent d’atténuer le risque d'accès non autorisé.