Una brecha en Azure pone en peligro las bases de datos de miles de clientes

Microsoft ha avisado a miles de sus clientes en la nube, entre los que se encuentran grandes empresas, de una vulnerabilidad en la principal base de datos Cosmos DB de Azure. Esta brecha puede permitir a los intrusos tener la capacidad de leer, cambiar o incluso eliminar las principales bases de datos de éstos, según informa Reuters. Un equipo de investigación de la compañía Wiz descubrió que podía acceder a las contraseñas que controlan el acceso a las bases de datos de miles de empresas. La directora de la firma, Ami Luttwak, es exdirectora de tecnologías de seguridad en la nube de Microsoft.

La tecnológica de Redmond ha mandado un correo electrónico a sus usuarios para que cambiaran las claves ya que no puede hacerlo por sí misma. “Solucionamos este problema de inmediato para mantener a nuestros clientes seguros y protegidos”, han señalado desde la compañía a la agencia de noticias. “Agradecemos a los investigadores de seguridad su trabajo y la divulgación coordenada de vulnerabilidades”.

En el email, la compañía ha dicho que no hay evidencia de que la vulnerabilidad haya sido explotada. Sin embargo, Luttwak ha afirmado que “se trata de la peor vulnerabilidad en la nube que se pueda imaginar. Hablamos de la base de datos central de Azure y pudimos acceder a la información de los clientes que quisimos”. El equipo de Luttwak descubrió la brecha, denominada ChaosDb, el 9 de agosto y la notificó a Microsoft tres días después.

El error se encontraba en una herramienta de visualización llamada Jupyter Notebook, que ha estado disponible durante años, y habilitada de forma predeterminada en Cosmos desde febrero. Desde Wiz aseguran que incluso los usuarios que no han recibido notificación por parte de Microsoft podrían haber sido vulnerados. Los problemas en Azure son especialmente preocupantes para la organización, ya que pretenden que las empresas abandonen parte de su propia infraestructura y confíen en su nube para tener más seguridad.