Radar Tech: CosmosEscape — a chave de plataforma que ameaçou o isolamento multi-tenant do Azure Cosmos DB
Uma única chave de assinatura compartilhada poderia dar acesso total a bancos de qualquer cliente. O caso CosmosEscape ensina por que chave mestra de plataforma é um antipadrão de arquitetura.
Radar Tech: CosmosEscape — a chave "de plataforma" que ameaçou o isolamento do Azure Cosmos DB
O resumo do dia é um soco no estômago de quem defende a nuvem: pesquisadores da Wiz encontraram (e a Microsoft corrigiu) uma cadeia de exploração batizada de CosmosEscape que poderia dar a um atacante acesso total de leitura e escrita a bancos do Azure Cosmos DB de qualquer cliente, através de uma única chave de assinatura compartilhada por toda a plataforma.
O que aconteceu
A cadeia começou de forma simples — e assustadora. Com apenas uma conta Azure padrão e um banco Gremlin controlado pelo próprio atacante (criado em minutos), uma consulta maliciosa escapou do sandbox da engine de Gremlin do Cosmos DB.
Como a engine traduz consultas para código .NET e o executa num ambiente "sandbox", os pesquisadores usaram reflexão .NET para construir primitivas de leitura/escrita de arquivos e chegaram a execução arbitrária de código num componente que a Wiz chama de DB Gateway — o serviço multi-tenant que executa consultas de clientes em clusters compartilhados (Azure Service Fabric).
O dano real estava no que o gateway podia fazer: ele detinha uma credencial que permitia recuperar a chave primária de qualquer conta de Cosmos DB, e ainda uma chave de assinatura da plataforma ("Cosmos Master Key") que, nos testes da Wiz, desbloqueava toda conta testada — de diferentes tenants, regiões e APIs (SQL, MongoDB, Cassandra, Gremlin). Uma busca no "Config Store" regional revelaria os nomes de conta e identificadores dos clientes.
Traduzindo para a língua da arquitetura: uma única chave de plataforma era um ponto único de falha — e de comprometimento. Quebrar o sandbox em um lugar equivale a abrir todas as portas, em todos os andares, de todos os prédios.
Por que isso importa além da Microsoft
A Microsoft afirma que corrigiu o ponto de entrada vulnerável em 48 horas e completou a correção estrutural em julho de 2026, eliminando a chave de plataforma, sem evidência de impacto a clientes. Mas o caso é uma lição universal de desenho de sistemas:
- Chave mestra compartilhada = blast radius global. Sempre que um gateway ou serviço de borda usa uma única chave para alcançar várias contas, um único vazamento vira comprometimento de tudo.
- Sandbox é fronteira, não garantia. Qualquer engine que execute código de cliente (queries, serverless, plugins) cria superfície de escape; reflexão, FFI e desserialização são os canais clássicos.
- O princípio do menor privilégio salva. Isolar por tenant, usar credenciais de curta duração, workload identity e vault central transforma um vazamento de "perdi a plataforma" em "vazei uma conta".
O que muda na prática (conselho de arquiteto)
Se você opera plataforma multi-tenant ou consome bancos de dados gerenciados:
- Inventarie chaves de plataforma — credenciais que dão acesso a mais de um tenant são suspeitas até prova em contrário.
- Reduza o blast radius — por tenant, por serviço, com escopo mínimo.
- Rotação automática (SaaS) com passos reversíveis e monitoramento de uso anômalo.
- Acompanhe a divulgação completa — a Wiz apresenta a íntegra da cadeia no Black Hat USA em 6 de agosto.
O CosmosEscape não pediu privilégios especiais, nem acesso interno: precisou só de uma conta comum. É o lembrete de que, em arquitetura de nuvem, custódia e escopo de segredos são a linha entre um incidente contido e uma falha de isolamento catastrófica.
