Cloudbleed
From Wikipedia, the free encyclopedia
Cloudbleed est une faille de sécurité découverte le affectant les proxies inverses de Cloudflare[1]. Cette faille amenait les serveurs périphériques de Cloudflare à lire après la fin d'une mémoire tampon et à diffuser des informations privées telles que des cookies HTTP, des jetons d'authentification, des HTTP POST bodies et d'autres données sensibles.
En conséquence de cette faille, les données de clients de Cloudflare ont été communiquées accidentellement à d'autres clients de Cloudflare qui se trouvaient dans la mémoire du serveur au moment du débordement du tampon. Certaines de ces données ont été mises en cache par les moteurs de recherche[2],[3],[4],[5],[6],[7],[8].
La faille a été signalée par l'équipe du Project Zero de Google[1]. Tavis Ormandy (en) a posté le problème sur le journal de son équipe et a déclaré qu'il avait informé Cloudflare du problème le . Dans sa preuve de concept, il a obtenu qu'un serveur de Cloudflare lui « livre des messages privés provenant de sites de rencontres majeurs, des messages complets d'un service de messagerie bien connu, des données d'un gestionnaire de mots de passe en ligne, des images de sites vidéos pour adultes et des réservations d'hôtel. J'ai obtenu des demandes https complètes, des adresses IP clients, des réponses complètes, des cookies, des mots de passe, des clés de chiffrement, des données, tout. »[9].
Similitudes avec Heartbleed
Cloudbleed est similaire à la faille de sécurité Heartbleed de 2014. Les deux failles permettent à des tiers non autorisés d'accéder à des données dans la mémoire des programmes exécutés sur des serveurs web - des données qui auraient dû être protégées par la norme de sécurisation par chiffrement Transport Layer Security (TLS)[10],[11]. Cloudbleed pourrait toucher autant d'utilisateurs que Heartbleed puisque la faille affectait un réseau de diffusion de contenu utilisé par près de 2 millions de sites web[3],[11].
