微软(4/28)昨天关闭了PostgreSQL服务的租户隔离区。在同一Azure地区,袭击者可以访问许多租户(租户)或PostgreSQL数据库。
Wiz Research是一家保安公司,发现并向微软报告这一问题。PostgreSQL弹性服务器Azure数据库发生破损事件。它被称为副复制品。其实是两个洞结合在一起的例如,微软最近加强了PostgreSQL弹性服务器服务。这导致对许可的升级;从其他域名向Azure提交另一份许可证书,以便登录到PostgreSQL操作系统。访问的目的是与租户(跨租户)联系。成功利用外复制缺陷的进攻者可以复制并获得Azure PostgreSQL灵活服务器用户数据库的只读访问。
这个问题影响到所有开放网络连接的灵活服务器 Postgres服务器。允许 VPN 或安全网络连接的环境不受影响(尽管这不是默认) 。此外，还可以访问PostgreSQL单一服务器的Azure数据库。
今年1月,Wez Research通知微软。微软已修改其灵活服务器以填补这个空白 。Azure 用户不需要做任何事情。不过为了安全起见，微软公司在配置灵活服务器操作功能的同时, 仍建议客户提供VPN等安全连接。
亚马逊还在本月初从基于关系的数据库云计算服务中为PostgreSQL修复了RDS的第三方开放源码扩展,这可能导致文件读数缺口,可能泄露Aurora数据库的内容。