Uma vulnerabilidade crítica, já corrigida, no Azure Cosmos DB — o serviço de base de dados NoSQL de referência da Microsoft — poderia ter permitido a um atacante assumir o controlo de praticamente todas as bases de dados alojadas na plataforma. A investigação, divulgada pela equipa Wiz Research, foi batizada de CosmosEscape e explorava a API Gremlin do serviço. Segundo a Wiz, a falha permitia obter uma chave de âmbito global — apelidada de «Cosmos Master Key» — capaz de recuperar a chave primária de qualquer conta Cosmos DB através de endpoints acessíveis publicamente.
Resposta rápida: A Wiz Research revelou o CosmosEscape, uma falha crítica no Azure Cosmos DB (via API Gremlin) que expunha uma chave de âmbito global capaz de aceder a qualquer base de dados na plataforma. A Microsoft já corrigiu totalmente o problema, eliminou a chave e afirma não haver evidência de exploração maliciosa. Não é exigida qualquer ação aos clientes, mas o caso reforça a necessidade de auditar acessos e privilégios em ambientes cloud multi-inquilino.
O que é o CosmosEscape
O Azure Cosmos DB é um serviço de base de dados NoSQL globalmente distribuído e totalmente gerido, que suporta vários modelos de dados — documentos, chave-valor, coluna e grafo. O modelo de grafo é disponibilizado através da API Gremlin, uma linguagem de consulta popular para bases de dados de grafos. Foi precisamente aqui que os investigadores encontraram o ponto de entrada.
De acordo com a Wiz, os investigadores estavam a experimentar consultas Gremlin quando repararam numa exceção .NET invulgar. Como a maioria das implementações open-source de Gremlin corre sobre a Java Virtual Machine (JVM), isto sugeria que o Cosmos DB usava um motor Gremlin personalizado baseado em .NET. A cadeia de exploração começava com uma consulta manipulada dirigida a uma base de dados Gremlin controlada pelo atacante, a partir da qual era possível escapar ao sandbox de consulta e obter execução de código.
A «Cosmos Master Key» e o seu poder
O elemento central da falha era um segredo de âmbito global. Tratava-se de uma chave capaz de recuperar a chave primária de qualquer conta Cosmos DB no serviço, tudo através de endpoints publicamente acessíveis — o que os investigadores designaram por «Cosmos Master Key».
Esta chave concedia, segundo a Wiz, duas capacidades particularmente perigosas. Por um lado, a tomada de controlo — recuperar a chave primária de qualquer conta a pedido, resultando em acesso total de leitura e escrita; por outro, a enumeração — listar todas as bases de dados do serviço, com possibilidade de filtrar por identificadores organizacionais como IDs de subscrição e de inquilino (tenant). Encadeadas, estas capacidades permitiriam um ataque de precisão à escala da plataforma: desde identificar as bases de dados de uma organização específica até comprometê-las, tudo a partir de endpoints acessíveis publicamente.
A gravidade agravava-se porque a falha não respeitava fronteiras. Funcionava entre inquilinos, entre regiões e mesmo entre variantes de API — SQL, MongoDB, Cassandra e Gremlin. A «Master Key» dava ainda acesso a um componente designado por Config Store. Este era um registo regional de todas as contas Cosmos DB, contendo nomes de conta, IDs de subscrição, IDs de inquilino, definições de rede, etiquetas e mais.
Bases de dados privadas também expostas
Um dos aspetos mais preocupantes é que a falha não afetava apenas bases de dados expostas à internet. O CosmosEscape impactava também contas privadas e isoladas por rede: uma vez que o DB Gateway é o responsável por aplicar o isolamento de rede, comprometê-lo dava acesso direto a bases de dados privadas. Além disso, o acesso de escrita ao Config Store sugeria que um atacante poderia sobrescrever as próprias definições de isolamento de rede.
O alcance potencial vai muito além dos clientes empresariais comuns. O Cosmos DB serve de infraestrutura de base para inúmeros serviços da Microsoft e do Azure, o que significa que as bases de dados internas da própria Microsoft estavam igualmente expostas. Serviços como o Microsoft Teams, o Microsoft Entra ID e o Microsoft Copilot assentam nesta camada de infraestrutura, pelo que uma falha a este nível poderia propagar-se para cima, ameaçando os serviços construídos por cima.
Correção e resposta da Microsoft
A Wiz divulgou a falha à Microsoft de forma coordenada. A empresa aplicou um hotfix rápido e remediou totalmente o problema, eliminando por completo a Cosmos Master Key e adicionando novas salvaguardas arquiteturais. Segundo a Wiz, a Microsoft conduziu revisões extensas dos registos de acesso e não encontrou evidência de atividade não autorizada para além da atividade de teste dos investigadores, e nenhum dado de clientes foi acedido. A conclusão é clara: não é exigida qualquer ação aos clientes.
Convém notar que esta não é a primeira vez que o Cosmos DB é alvo de investigação. Em 2021, a mesma equipa da Wiz divulgou a falha «ChaosDB», ligada à funcionalidade de Jupyter Notebooks, que também permitia acesso a chaves primárias de outros clientes. A recorrência de problemas neste serviço de infraestrutura sublinha o desafio de garantir isolamento entre inquilinos em plataformas cloud partilhadas.
Cronologia e pontos essenciais
| Elemento | Detalhe verificado |
|---|---|
| Nome da falha | CosmosEscape |
| Serviço afetado | Azure Cosmos DB (via API Gremlin) |
| Investigadores | Wiz Research |
| Segredo exposto | «Cosmos Master Key» (chave de âmbito global) |
| APIs abrangidas | SQL, MongoDB, Cassandra e Gremlin |
| Estado | Corrigido; chave eliminada e novas salvaguardas |
| Exploração maliciosa | Sem evidência, segundo a Microsoft |
| Ação exigida aos clientes | Nenhuma |
Porque é que isto importa para Portugal
Ainda que não haja ação técnica exigida aos clientes, o CosmosEscape é um caso pedagógico relevante para qualquer organização que dependa da cloud — e são cada vez mais em Portugal, incluindo PME e entidades do setor público. Falhas de isolamento entre inquilinos ao nível da infraestrutura são raras, mas de impacto potencialmente catastrófico, precisamente porque escapam ao controlo direto do cliente.
Para as entidades abrangidas pelo novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2), o episódio reforça a importância da gestão de risco da cadeia de fornecimento de TIC e da avaliação contínua dos prestadores de serviços cloud. Mesmo quando o fornecedor corrige a falha, cabe às organizações manter a monitorização de acessos anómalos e a rotação regular de segredos e chaves. O CNCS e o CERT.PT recomendam, de forma transversal, a adoção de controlos como o acesso baseado em papéis (RBAC) em detrimento de chaves partilhadas de longa duração, e a auditoria de padrões de acesso a repositórios de dados críticos.
Do ponto de vista da proteção de dados, um comprometimento como o que o CosmosEscape teoricamente permitiria — leitura e escrita em bases de dados alheias — configuraria uma violação de dados pessoais com implicações diretas no RGPD. Neste caso, sem evidência de acesso a dados de clientes, não se coloca essa questão; ainda assim, o cenário serve de lembrete de que a responsabilidade pela conformidade permanece na organização que trata os dados, independentemente de onde estes estão alojados.
Perguntas frequentes
Preciso de fazer alguma coisa se uso o Azure Cosmos DB?
Segundo a Microsoft e a Wiz, não é exigida qualquer ação aos clientes. A falha foi totalmente corrigida do lado do serviço, a chave problemática foi eliminada e foram adicionadas novas salvaguardas arquiteturais. Ainda assim, é boa prática manter a monitorização de acessos e a rotação regular de chaves.
Os meus dados foram acedidos?
De acordo com a Wiz, a Microsoft reviu extensamente os registos de acesso e não encontrou evidência de atividade não autorizada para além dos testes dos investigadores, concluindo que nenhum dado de clientes foi acedido.
O que era a «Cosmos Master Key»?
Era um segredo de âmbito global que permitia recuperar a chave primária de qualquer conta Cosmos DB e listar todas as bases de dados do serviço, através de endpoints acessíveis publicamente. A Microsoft eliminou por completo esta chave como parte da correção.
Isto tem relação com a falha ChaosDB de 2021?
São falhas distintas, mas ambas foram descobertas pela Wiz no mesmo serviço. A ChaosDB, de 2021, estava ligada à funcionalidade de Jupyter Notebooks; o CosmosEscape explora a API Gremlin. A recorrência evidencia o desafio de garantir isolamento entre inquilinos em plataformas cloud.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Wiz Research e pela Microsoft.