Cloudflare har rettet en sikkerhedsfejl i Cloudflare Containers, der kunne gøre det muligt for kunder at gendanne data, som andre kunder havde efterladt på delt infrastruktur. Sårbarheden påvirkede Containers og Sandboxes. Virksomheden siger dog, at den ikke fandt beviser på, at kundedata var blevet eksponeret gennem denne metode.
Forsker rapporterer sårbarhed i delt lagring
Oren Yomtov, sikkerhedsforsker hos Accomplish, rapporterede sårbarheden gennem HackerOne den 4. september.
Cloudflare Containers giver udviklere mulighed for at køre containerbaserede applikationer sammen med Cloudflare Workers. Tjenesten kræver en Workers Paid-konto og understøtter backend-tjenester, behandlingsopgaver og miljøer til kørsel af kode.
Fejlen kunne gøre det muligt for en person med denne kontotype at gendanne resterende filer fra andre kunders slettede containerdiske. Potentielt tilgængeligt materiale omfattede kataloglister, SQLite-databaser, Chromium-profiler, miljøfiler og filer med loginoplysninger.
En angriber kunne dog ikke vælge et bestemt offer eller en bestemt fysisk vært. Metoden gav heller ikke adgang til diske, der stadig var aktivt tilknyttet en anden kundes container.
Sikkerhedsfejl i Cloudflare Containers efterlod gamle data læsbare
Problemet involverede en delt lagringspulje, der genbrugte fysiske blokke på tværs af kundekonti.
Normalt forhindrer rydning af en genbrugt blok en ny arbejdsbelastning i at læse oplysninger, som den tidligere ejer havde efterladt. I dette tilfælde betød en lagringsindstilling, at denne rydningsproces blev sprunget over.
Puljen tildelte lagerplads i blokke på 64 KiB. Det at skrive blot 4 KiB til et ubrugt område på disken kunne dog udløse tildelingen af en hel genbrugt blok.
Som følge heraf kunne de resterende 60 KiB indeholde læsbare oplysninger fra en tidligere kundes container.
Forskerne fandt resterende materiale på 18 ud af 24 containerplaceringer og på 20 ud af 22 underliggende noder, som de testede. Deres fund omfattede katalogstrukturer, databasesider og strukturelt komplette SQLite-databaser.
Cloudflare finder ingen beviser på eksponering af kundedata
Ifølge Cloudflare brugte forskerne kontrolscripts, der returnerede samlede antal frem for det faktiske indhold på diskene. Virksomheden siger derfor, at evalueringen ikke eksponerede reelle kundedata.
Forskerne demonstrerede heller ingen måde at ændre en anden kundes oplysninger eller forstyrre deres arbejdsbelastninger på.
Samtidig gennemgik Cloudflare logfiler, telemetri og historiske data for tegn på udnyttelse. Virksomheden fandt ingen beviser på, at nogen havde eksponeret kundedata gennem den rapporterede metode.
Disse resultater adskiller sårbarhedens potentielle konsekvenser fra den eksponering, som Cloudflare kunne bekræfte.
Infrastrukturrettelse kræver ingen handling fra kunderne
Cloudflare fjernede den indstilling, der gjorde det muligt for lagringspuljen at springe rydningen af genbrugte blokke over.
Derudover tog virksomheden eksisterende containerdiske ud af drift og ryddede cachelagrede snapshots, der kunne indeholde gamle lagringstilknytninger. Virksomheden afsluttede alle afhjælpende tiltag senest den 19. september 2026.
Cloudflare gennemførte ændringerne direkte i sin infrastruktur. Derfor behøver kunderne ikke at installere opdateringer eller ændre deres konfigurationer for at håndtere denne fejl.
0 svar til “Sikkerhedsfejl i Cloudflare Containers kunne afsløre andre kunders data”