Cloudbleed
Cloudbleed fue un desbordamiento del búfer de Cloudflare revelado por Project Zero el 17 de febrero de 2017. El código de Cloudflare reveló el contenido de la memoria que contenía información privada de otros clientes, como cookies HTTP, tokens de autenticación, cuerpos HTTP POST y otros datos confidenciales. Como resultado, los datos de los clientes de Cloudflare se filtraron a todos los demás clientes de Cloudflare que tenían acceso a la memoria del servidor. Esto ocurrió, según cifras proporcionadas por Cloudflare en ese momento, más de 18.000.000 de veces antes de que se corrigiera el problema. Algunos de los datos filtrados fueron almacenados en caché por los motores de búsqueda.
From Wikipedia, the free encyclopedia
Cloudbleed fue un desbordamiento del búfer de Cloudflare revelado por Project Zero el 17 de febrero de 2017. El código de Cloudflare reveló el contenido de la memoria que contenía información privada de otros clientes, como cookies HTTP, tokens de autenticación, cuerpos HTTP POST y otros datos confidenciales. [1] Como resultado, los datos de los clientes de Cloudflare se filtraron a todos los demás clientes de Cloudflare que tenían acceso a la memoria del servidor. Esto ocurrió, según cifras proporcionadas por Cloudflare en ese momento, más de 18.000.000 de veces antes de que se corrigiera el problema. [2] [3] Algunos de los datos filtrados fueron almacenados en caché por los motores de búsqueda. [3] [4] [5] [6] [7] [8]
El descubrimiento fue informado por el equipo Project Zero de Google. [9] Tavis Ormandy publicó el problema en el rastreador de problemas de su equipo y dijo que informó a Cloudflare sobre el problema el 17 de febrero. En su propio ataque de prueba de concepto, consiguió que un servidor Cloudflare devolviera "mensajes privados de los principales sitios de citas, mensajes completos de un conocido servicio de chat, datos del administrador de contraseñas en línea, marcos de sitios de videos para adultos, reservas de hotel". Estamos hablando de solicitudes HTTPS completas, direcciones IP de clientes, respuestas completas, cookies, contraseñas, claves, datos, todo". [9]
Similitudes con Heartbleed
En sus efectos, Cloudbleed es comparable al error Heartbleed de 2014, en el sentido de que permitió a terceros no autorizados acceder a datos en la memoria de programas que se ejecutan en servidores web, incluidos datos que habían sido protegidos durante el tránsito por TLS . [10] [11] Es probable que Cloudbleed también haya afectado a tantos usuarios como Heartbleed, ya que afectó a una red de entrega de contenido que presta servicios a casi dos millones de sitios web. [12] [11]
Tavis Ormandy, el primero en descubrir la vulnerabilidad, inmediatamente hizo una comparación con Heartbleed, diciendo que "se necesitó cada gramo de fuerza para no llamar a este problema 'cloudbleed'" en su informe. [13]
