Microsoft hat am Donnerstag bekannt gegeben, dass es zwei Probleme mit der Azure-Datenbank für PostgreSQL Flexible Server behoben hat, die zu einem unberechtigten kontoübergreifenden Datenbankzugriff in einer Region führen konnten.
„Durch die Ausnutzung eines Fehlers mit erhöhten Berechtigungen im Authentifizierungsprozess des Flexible Servers für einen Replikationsbenutzer könnte ein böswilliger Benutzer einen unsachgemäß verankerten regulären Ausdruck ausnutzen, um die Authentifizierung zu umgehen und Zugriff auf die Datenbanken anderer Kunden zu erhalten“, so das Microsoft Security Response Center (MSRC).
Das in New York City ansässige Cloud-Sicherheitsunternehmen Wiz, das die Schwachstelle aufgedeckt hat, nannte die Exploit-Kette „ExtraReplica“. Microsoft teilte mit, dass es den Fehler innerhalb von 48 Stunden nach der Veröffentlichung am 13. Januar 2022 entschärft hat.
Konkret handelt es sich um einen Fall von Privilegienerweiterung in der Azure PostgreSQL-Engine, um Codeausführung und eine kontoübergreifende Authentifizierungsumgehung mit Hilfe eines gefälschten Zertifikats zu erreichen, die es einem Angreifer ermöglicht, eine Datenbank in der Azure-Region des Ziels zu erstellen und vertrauliche Informationen auszuspionieren.
Mit anderen Worten: Die erfolgreiche Ausnutzung der kritischen Schwachstellen hätte es einem Angreifer ermöglichen können, unbefugten Lesezugriff auf die PostgreSQL-Datenbanken anderer Kunden zu erhalten und so die Tenant-Isolation zu umgehen.
Wiz führte die Privilegienerweiterung auf einen Fehler zurück, der auf Änderungen in der PostgreSQL-Engine zurückzuführen ist, mit denen das Privilegienmodell verstärkt und neue Funktionen hinzugefügt wurden. Der Name ExtraReplica kommt daher, dass der Angriff eine PostgreSQL-Funktion ausnutzt, die es ermöglicht, Datenbankdaten von einem Server auf einen anderen zu kopieren, d.h. die Datenbank zu „replizieren“.
Der Windows-Hersteller beschrieb, dass die Sicherheitslücke PostgreSQL Flexible Server Instanzen betrifft, die mit der Netzwerkoption „Public Access“ betrieben werden. Er betonte jedoch, dass er keine Beweise dafür gefunden hat, dass die Schwachstelle aktiv ausgenutzt wird und dass keine Kundendaten abgerufen wurden.
„Für die Kunden besteht kein Handlungsbedarf“, sagte MSRC. „Um das Risiko weiter zu minimieren, empfehlen wir unseren Kunden, bei der Einrichtung ihrer Flexible Server-Instanzen den privaten Netzwerkzugang zu aktivieren.