安全公司Orca研究人员，近期发现微软数据库服务Azure Cosmos上的一个严重漏洞CosMiss，其用于编写程序代码的Azure Cosmos Notebooks缺少身份验证检查，所以只要攻击者知道笔记本工作区的UUID，即拥有Notebook包括读写和修改等完整访问权限。
这项漏洞在Orca向微软回应之后，微软火速在两天内就修复了该漏洞，现在所有Cosmos DB Notebook都需要用户在请求标头提供授权令牌才能够访问。
CosMiss漏洞发现于Cosmos DB Jupyter Notebooks，Azure Cosmos是微软的高性能NoSQL数据库服务，而该数据库服务提供互动式开发人员环境Jupyter Notebooks，让开发人员可以创建、执行和共享程序代码、方程式，以及可视化和描述性文本，也因为开发人员在Cosmos DB Notebooks中创建程序代码，其中可能包含许多敏感资料，包括嵌入在程序代码的私密密钥等。
CosMiss漏洞允许未经身份验证的用户，对Azure Cosmos DB Notebooks进行读写、注入程序代码和覆盖程序代码，官方提到，这些权限相当于提供攻击者远程程序代码执行的能力。
不过，攻击者在发动攻击之前，需要知道笔记本工作区的UUID（forwardingId），才能进一步利用该漏洞，而获取forwardingId的唯一方法，是由经过身份验证的用户打开Notebook，不过又因为forwardingId没有被标记成机密资讯，因此用户可能不会认知forwardingId为机密资讯，在未妥善保存的状况，或将增加攻击者成功盗取的可能性增加。
Orca在10月3日向微软报告了该漏洞，而微软在两天内快速修复了该漏洞，现在攻击者已经无法利用该漏洞任意访问用户的Azure Cosmos Notebooks。
相关推荐: Neotrust：巴西2022年Q2电商销售额达384亿雷亚尔
厦门商城系统开发 7月15日，根据电子商务情报公司Neotrust的调查数据，2022年第二季度，巴西电子商务销售额达到384亿雷亚尔，较2021年第二季度下降3.2%；订单量达8960万份，同比增长4.3%。 根据Neotrust的数据，巴西电商市场今年第二…
码刀科技（www.lekshop.cn）是国内知名企业级电商平台提供商，为企业级商家提供最佳的电商平台搭建（多种模式电商平台搭建：B2B/B2B2C/B2C/O2O/新零售/跨境等）、平台管理系统开发及互联网采购解决方案服务, 联系客服了解更多.
