Sicherheitsproblem bei Microsoft Azure-Cloud größer als gedacht

Nach der bekannt gewordenen Schwachstelle in Microsoft Azure und der Cosmos DB warnen Sicherheitsexperten nun alle Nutzer, schnell zu handeln. Microsoft hatte das Problem heruntergespielt und nur Warnungen an einige wenige Datenbanknutzer herausgegeben. Die Nachrichtenagentur Reuters hatte gemeldet, dass Forscher des Cloud-Sicherheitsunternehmens Wiz ein massives Sicherheitsproblem in Azure aufgedeckt hatten. Die aufgespürte Schwachstelle bot Angreifern Zugriff auf Datenbanken in tausenden Microsoft Azure-Instanzen - dort konnten Unbefugte dann Daten lesen, verändern oder auch komplett löschen. Microsoft handelte schnell, lokalisierte den Konfigurationsfehler und konnte die Schwachstelle schließen.

Microsoft hat Kunden direkt kontaktiert

Sicherheitsexperten bemängeln jetzt aber das ganze weitere Vorgehen des Konzerns. Laut Reuters wurden 3300 Azure-Nutzer kontaktiert und aufgefordert, neue Zugangsdaten zu erstellen. Das ist eine Sicherheitsmaßnahme für den Fall, dass trotz bisheriger Informationen doch auch bereits Cyberkriminelle die Sicherheitslücke für sich ausnutzen. "Obwohl auf keine Kundendaten zugegriffen wurde, wird empfohlen, primäre Lese-/Schreib-Schlüssel neu zu generieren", forderte Microsoft auf.

Der US-Sicherheitsbehörde CISA (Cybersecurity and Infrastructure Security Agency) reicht das aber nicht. In einer Sicherheitswarnung hieß es: "Die CISA ermutigt Azure Cosmos DB-Kunden dringend, ihren Zertifikatschlüssel neu zu generieren." Das gelte für alle Nutzer und nicht nur für den Teil, die Microsoft kontaktiert habe. Alles andere sei unverantwortlich, unterstrich ein Forscher von Wiz: "Meiner Einschätzung nach ist es für sie (Microsoft) wirklich schwer, wenn nicht unmöglich, vollständig auszuschließen, dass jemand diese Lücke zuvor verwendet hat", erklärte Wiz Chief Technology Officer Ami Luttwak.

Bei Microsoft entwickelte er einst Tools zur Protokollierung von Cloud-Sicherheitsvorfällen und steht jetzt im engen Kontakt mit den Azure-Entwicklern. Der Sicherheitsforscher ist überzeugt, dass das Problem größer ist, als das nach außen kommuniziert wird.

Siehe auch: