Sicherheitslücken in Azure Database for PostgreSQL Flexible Server gefixt

Durch Sicherheitslücken in Microsofts Azure Database for PostgreSQL Flexible Server hätten Angreifer ihre Rechte ausweiten und beliebigen Code einschleusen sowie ausführen können. Zudem wäre ein nicht-autorisierter, kontenübergreifender Datenbankzugriff innerhalb einer Region möglich gewesen.

Aufgrund eines Bugs, der laut Microsofts Beschreibung einem Replikations-Nutzer im Flexible-Server-Authentifizierungsprozess erhöhte Zugriffsrechte zuwies, hätten bösartige Nutzer mittels präparierter regulärer Ausdrücke die Authentifizierung umgehen und auf Datenbanken anderer Kunden zugreifen können. Zudem hätte durch den Postgre-copy-Befehl eingeschleuster Schadcode im Flexible Server PostgreSQL-Dienst zur Ausführung kommen können.

Betroffene Versionen

Diese Schwachstellen fanden sich auf allen Flexible Server Postgres-Servern, die mit der Option "Public Access Networking", also öffentlichem Zugriff, ausgestattet waren. Kunden mit der "Private Access Networking"-Option sowie das Einzelserver-Angebot mit PostgreSQL waren hingegen nicht betroffen.

Microsoft erläutert, dass Kunden nichts weiter unternehmen müssten. Die Fehler seien vom Anbieter bereits behoben worden. Man empfehle den Kunden jedoch, bei neu angelegten Instanzen die Option "Private Network Access" zu setzen.

Die Sicherheitsmeldung von Microsoft erläutert weitere Details zu den Vorfällen aus Sicht des Unternehmens. In einem eigenen Artikel beschreiben die Entdecker der Sicherheitslücke von Wiz detailliert für interessierte Leser, wie sie vorgegangen sind und etwa die nötigen Unique Identifier von fremden Datenbanken erlangten, um in diese einzubrechen.

Informationen, wie sie genau an superuser-Rechte in PostgreSQL gelangten, halten die Wiz-Forscher jedoch noch zurück, da auch andere Anbieter vergleichbare Änderungen an der PostgreSQL-Engine wie Microsoft vorgenommen haben könnten. Erst durch diese Modifikationen war die Rechteerhöhung und das Ausführen beliebiger Befehle möglich.

Lesen Sie dazu auch:

Themenseite zu Microsoft Azure auf heise online

(dmk)