微軟修補Azure PostgreSQL租戶隔離漏洞

微軟昨（4/28）日修補了Azure Database for PostgreSQL服務(wù)一項租戶隔離（Tenant isolation）漏洞，可讓攻擊者訪問同一Azure區(qū)域上多個不同租戶（tenant）或賬號上的PostgreSQL數(shù)據(jù)庫。

這個問題是由安全廠商Wiz Research發(fā)現(xiàn)并通報微軟。漏洞發(fā)生于Azure Database for PostgreSQL Flexible Server，廠商稱之為ExtraReplica，它實際是2項漏洞組成，一個是源自微軟近日為了強化功能而對PostgreSQL Flexible Server服務(wù)做的修改，導(dǎo)致權(quán)限升級；另一個則讓發(fā)派給Azure其他域名的憑證得以登錄PostgreSQL執(zhí)行實例，達(dá)到跨租戶（cross-tenant）訪問的目的。成功開采這項ExtraReplica漏洞的攻擊者，可復(fù)制并取得Azure PostgreSQL Flexible Server用戶數(shù)據(jù)庫的讀取權(quán)限。

所有設(shè)置公開網(wǎng)絡(luò)連接的Flexible Server Postgres服務(wù)器都受這漏洞影響。激活VPN或安全網(wǎng)絡(luò)連接的環(huán)境則不受影響（不過這并非默認(rèn)）。此外，Azure Database for PostgreSQL Single Server用戶也未曝險。

Wiz Research于今年1月通報微軟，微軟已更新Flexible Servers以解決這項漏洞。Azure用戶無需采取任何動作。不過為了安全起見，微軟仍建議用戶在設(shè)置Flexible Server執(zhí)行實例時激活VPN等安全連接。

本月初AWS也修補了一項源于關(guān)系型數(shù)據(jù)庫云計算服務(wù)RDS for PostgreSQL第三方開源擴(kuò)展程序，可導(dǎo)致Aurora數(shù)據(jù)庫內(nèi)容外泄的文件讀取漏洞。