CosmosEscape披露后，Azure Cosmos DB完成长期修复

安全公司 Wiz 于7月30日公开披露名为 CosmosEscape 的漏洞链。根据已保存的研究材料，问题涉及 Azure Cosmos DB 的 Gremlin API 处理路径：攻击者可能绕过对 Gremlin 执行环境的限制，在自有数据库的查询上下文中取得后端执行能力，并进一步接触用于获取数据库主密钥的服务端凭据。

风险并不局限于单一账户。研究人员表示，相关签名密钥未被限制在一个账户内，可能被用于取得不同账户的主密钥；再结合内部账户目录，攻击者理论上可枚举某一区域的 Cosmos DB 账户，并取得目标账户的读写权限。该风险覆盖私有及网络隔离账户，原因是数据库网关承担了部分网络隔离执行职责。

时间线上，Wiz 于2025年11月向微软报告问题。微软随后部署热修复，并推进长期架构修复；至2026年7月，长期修复已完成并覆盖所有区域。微软在保存的声明中表示，已审查访问日志，除研究人员测试活动外未发现未授权活动，也没有客户数据被访问。现有材料将此事界定为可能导致跨租户数据访问的已修复风险，而非已确认的大范围泄露。

这一事件也提示，多租户托管数据库的执行隔离、特权凭据和内部服务边界需要协同管理。对 Cosmos DB 用户而言，公开材料并不支持据此认定数据已外泄；在服务商完成修复后，权限审计、日志留存、密钥轮换和异常访问处置仍是日常运营中的重要环节。

数据库隔离事件推动云安全投入

此次披露将关注点集中在多租户平台的特权边界，而非普通用户查询本身。对云平台而言，完成修复能够降低即时风险，但长期仍要承担隔离架构加固、安全运营和客户沟通等投入。对客户而言，数据库访问控制、密钥治理与运行时监测更可能成为云服务采购和续约时的具体要求。安全产品和服务提供商可因此获得更多审计、检测与治理场景，但需求转化仍会受到企业安全预算和部署节奏的约束。

新闻热点内容来源于媒体公开报道。文章分析仅代表个人观点，不构成投资建议。