Falla in CloudFlare: leak di informazioni e password

Feb 24, 2017 Marco Schiaffino Leaks, News, RSS, Vulnerabilità 0

Un errore di battitura nel codice sorgente provocava un buffer overflow con conseguente “scarico” di dati riservati nelle richieste http.

CloudFlare è un’azienda statunitense non molto conosciuta tra il grande pubblico: si occupa di hosting e protezione dei servizi Web e, in particolare, offre un servizio di reverse proxy utilizzato da numerosi siti Internet.

La notizia che il codice sorgente di CloudFlare contenesse un bug che ha messo a rischio dati riservati dei suoi clienti, di conseguenza, non è passata inosservata nell’ambiente.

Tanto più che, stando al comunicato pubblicato dalla stessa CloudFlare, si sarebbe trattato di una falla generata da uno degli inconvenienti più “stupidi” che possano verificarsi: un errore di battitura commesso da uno dei programmatori.

A quanto pare, infatti, qualcuno ha inserito un carattere sbagliato nel codice dell’HTML parser usato in alcuni servizi di CloudFlare, che ha provocato una “fuoriuscita” di dati causata da un classico buffer overflow.

A segnalare il problema è stato il ricercatore Tavis Ormandy, membro del Project Zero team di Google e più che conosciuto nel settore.

Da quanto si capisce, Ormandy si è accorto che qualcosa non andava e ha immediatamente lanciato l’allarme, anche se le modalità con cui lo ha fatto lasciano un po’ perplessi.

Piuttosto che contattare in via riservata CloudFlare, Ormandy ha infatti pubblicato un tweet chiedendo che qualcuno dei responsabili della sicurezza di CloudFlare lo contattasse.

Forse i metodi di Ormandy sono poco ortodossi, ma bisogna ammettere che ha avuto una risposta quasi immediata.

Ma qual è stato il problema? In pratica, nelle comunicazioni di risposta tramite protocollo HTTP sarebbero finite informazioni sensibili riguardanti i clienti, tra cui le credenziali di accesso ai servizi, che sarebbero state di conseguenza memorizzate nella cache dei motori di ricerca.

Nel comunicato l’azienda minimizza l’impatto della vulnerabilità, spiegando che nel periodo in cui il fenomeno ha raggiunto la fase più acuta (tra il 13 e il 18 di febbraio) il rischio di “leak” ha riguardato una richiesta su 3.300.000 tra quelle indirizzate ai sistemi CloudFlare, cioè lo 0.00003% del totale.

Sempre secondo CloudFlare, sembra che nessuno abbia fatto in tempo a sfruttare la vulnerabilità per raccogliere dati riservati, anche grazie all’azione di mitigazione messa in atto dai tecnici ed efficace “47 minuti dopo la scoperta del problema”.

Nel dettaglio, una volta capito dove fosse il problema (ma non ancora quale fosse la causa) i tecnici hanno disattivato tutti i servizi potenzialmente affetti dal problema.

Stando a quanto riportato dagli stessi responsabili dell’azienda, però, gli ottimi tempi di risposta non corrisponderebbero ad altrettanto ottimi tempi nell’individuazione del bug, che sarebbe stato presente dalla bellezza di 5 mesi, cioè dal 22 settembre 2016.

CloudFlare assicura di avere sistemato tutto, collaborando anche con i motori di ricerca per “ripulire” la cache da eventuali informazioni riservate finite al suo interno.

Condividi l'articolo