CosmosEscape: Celah Kritis di Azure Cosmos DB Bisa Ambil Alih Semua Database

Tim riset keamanan Wiz baru-baru ini mengumumkan penemuan kerentanan kritis pada Azure Cosmos DB, layanan database andalan Microsoft. Kerentanan yang diberi nama CosmosEscape ini memungkinkan penyerang untuk mengambil alih setiap database yang berjalan pada layanan tersebut, termasuk database internal milik Microsoft sendiri seperti Microsoft Entra ID, Teams, dan Copilot. Microsoft telah mengonfirmasi bahwa kerentanan ini telah diperbaiki sepenuhnya dan tidak ada bukti eksploitasi di luar aktivitas penelitian Wiz.

Azure Cosmos DB adalah layanan database multi-model yang digunakan secara luas di infrastruktur Azure. Melalui API Gremlin-nya, Wiz Research menemukan bahwa sandbox .NET yang digunakan untuk mengeksekusi query Gremlin dapat dit Bypass menggunakan refleksi .NET. Hal ini membuka jalan bagi eksekusi kode arbitrer pada backend Cosmos DB, yang kemudian digunakan untuk mengakses apa yang mereka sebut Cosmos Master Key, kunci platform-wide yang bisa mengambil primary key akun apa pun di layanan tersebut.

Dari Sandbox Gremlin ke Code Execution

Cosmos DB mendukung beberapa API query, salah satunya Gremlin, bahasa query graph yang populer. Saat menjalankan query Gremlin, Wiz Research memperhatikan exception .NET yang tidak biasa. Karena stack Gremlin open-source umumnya berbasis JVM, exception .NET mengindikasikan bahwa Cosmos DB menggunakan mesin Gremlin kustom. Mesin ini menerjemahkan query Gremlin menjadi kode .NET dan menjalankannya dalam sandbox terbatas.

Sandbox tersebut ternyata tidak cukup membatasi kemampuan refleksi .NET. Wiz berhasil mengembangkan teknik file read, file write, dan akhirnya eksekusi kode arbitrer hanya melalui query yang dikirim ke database mereka sendiri. Mereka menunjukkan output perintah hostname yang berjalan di backend Cosmos DB sebagai bukti pengeksekusian kode.

Cosmos Master Key: Satu Kunci untuk Semua Database

Setelah mendapatkan eksekusi kode pada DB Gateway, layanan yang mengeksekusi query atas nama pelanggan, Wiz menemukan bahwa gateway tersebut menyimpan kredensial untuk mengakses signing key. Signing key ini ternyata tidak terbatas pada satu akun. Ia berfungsi di seluruh tenant, region, dan bahkan lintas API (SQL, MongoDB, Cassandra, Gremlin). Wiz menyebutnya Cosmos Master Key.

Dengan Master Key ini, penyerang bisa melakukan dua hal utama. Pertama, takeover: mengambil primary key akun Cosmos DB mana pun secara on-demand, yang memberikan akses baca dan tulis penuh. Kedua, enumeration: melihat daftar semua database di layanan, dengan kemampuan filter berdasarkan subscription ID atau tenant ID untuk menargetkan organisasi tertentu.

Dampak pada Database Pribadi dan Internal

Kombinasi antara Cosmos Master Key dan Config Store memungkinkan rantai serangan yang sangat kuat. Penyerang bisa mengquery Config Store untuk mendaftarkan semua akun dalam satu region, lalu menggunakan Master Key untuk mendapatkan primary key target. Yang lebih mengkhawatirkan, Cosmos DB digunakan oleh layanan Microsoft internal. Data dari Microsoft Entra ID, Teams, dan Copilot semuanya berpotensi terexpose.

CosmosEscape juga memengaruhi akun Cosmos DB yang bersifat private atau memiliki network isolation. Karena DB Gateway bertanggung jawab atas penegakan network isolation, kompromi pada gateway memungkinkan akses langsung ke database private. Bahkan, write access ke Config Store membuka kemungkinan penyerang menimpa pengaturan isolasi jaringan.

Respons Microsoft dan Remediasi

Wiz melaporkan temuan ini kepada Microsoft pada 20 November 2025. Microsoft mengakui laporan pada hari yang sama dan menerapkan hot fix dalam dua hari. Sejak itu, tim Cosmos DB bekerja keras melakukan migrasi besar ke arsitektur yang lebih hardened. Microsoft juga menghapus Cosmos Master Key dan menambahkan guardrails baru untuk mencegah serangan serupa.

Microsoft menyatakan tidak ada bukti eksploitasi di luar aktivitas penelitian Wiz. Tidak ada data pelanggan yang diakses secara ilegal, dan tidak ada tindakan yang diperlukan dari pelanggan. MSRC dan tim Cosmos DB dipuji oleh Wiz atas kolaborasi cepat dan transparan dalam menangani insiden ini.

Implikasi bagi Cloud Security

CosmosEscape mengingatkan kita bahwa platform cloud dibangun dalam lapisan-lapisan. Layanan infrastruktur seperti Cosmos DB mendukung layanan tingkat tinggi seperti Teams dan Copilot. Kerentanan di lapisan fondasi dapat merambat ke atas dan mengancam seluruh ekosistem yang dibangun di atasnya.

Bagi developer dan tim DevOps di Indonesia yang mengandalkan Azure, insiden ini menegaskan pentingnya memahami model isolasi tenant pada layanan multi-tenant. Meskipun vendor bertanggung jawab atas keamanan platform, pelanggan tetap harus menerapkan defense-in-depth di sisi mereka: enkripsi data sensitif, audit akses secara rutin, dan memiliki rencana incident response jika terjadi kompromi pada lapisan provider.

Kesimpulan

CosmosEscape adalah contoh klasik bagaimana satu kerentanan di API sekunder (Gremlin) bisa membuka pintu ke kompromi platform-wide. Kerja sama yang cepat antara Wiz dan Microsoft menunjukkan bahwa responsible disclosure dan hardening berkelanjutan masih menjadi pilar utama keamanan cloud. Bagi pengguna Azure, berita baiknya adalah kerentanan telah diperbaiki tanpa dampak data. Namun, peristiwa ini menjadi pengingat bahwa di era cloud multi-tenant, isolasi yang kuat bukan sekadar fitur, melainkan fondasi kepercayaan.