Aggiornamenti recenti Dicembre 12th, 2024 4:12 PM
Feb 24, 2017 Marco Schiaffino Leaks, News, RSS, Vulnerabilità 0
CloudFlare è un’azienda statunitense non molto conosciuta tra il grande pubblico: si occupa di hosting e protezione dei servizi Web e, in particolare, offre un servizio di reverse proxy utilizzato da numerosi siti Internet.
La notizia che il codice sorgente di CloudFlare contenesse un bug che ha messo a rischio dati riservati dei suoi clienti, di conseguenza, non è passata inosservata nell’ambiente.
Tanto più che, stando al comunicato pubblicato dalla stessa CloudFlare, si sarebbe trattato di una falla generata da uno degli inconvenienti più “stupidi” che possano verificarsi: un errore di battitura commesso da uno dei programmatori.
A quanto pare, infatti, qualcuno ha inserito un carattere sbagliato nel codice dell’HTML parser usato in alcuni servizi di CloudFlare, che ha provocato una “fuoriuscita” di dati causata da un classico buffer overflow.
A segnalare il problema è stato il ricercatore Tavis Ormandy, membro del Project Zero team di Google e più che conosciuto nel settore.
Da quanto si capisce, Ormandy si è accorto che qualcosa non andava e ha immediatamente lanciato l’allarme, anche se le modalità con cui lo ha fatto lasciano un po’ perplessi.
Piuttosto che contattare in via riservata CloudFlare, Ormandy ha infatti pubblicato un tweet chiedendo che qualcuno dei responsabili della sicurezza di CloudFlare lo contattasse.
Ma qual è stato il problema? In pratica, nelle comunicazioni di risposta tramite protocollo HTTP sarebbero finite informazioni sensibili riguardanti i clienti, tra cui le credenziali di accesso ai servizi, che sarebbero state di conseguenza memorizzate nella cache dei motori di ricerca.
Nel comunicato l’azienda minimizza l’impatto della vulnerabilità, spiegando che nel periodo in cui il fenomeno ha raggiunto la fase più acuta (tra il 13 e il 18 di febbraio) il rischio di “leak” ha riguardato una richiesta su 3.300.000 tra quelle indirizzate ai sistemi CloudFlare, cioè lo 0.00003% del totale.
Sempre secondo CloudFlare, sembra che nessuno abbia fatto in tempo a sfruttare la vulnerabilità per raccogliere dati riservati, anche grazie all’azione di mitigazione messa in atto dai tecnici ed efficace “47 minuti dopo la scoperta del problema”.
Nel dettaglio, una volta capito dove fosse il problema (ma non ancora quale fosse la causa) i tecnici hanno disattivato tutti i servizi potenzialmente affetti dal problema.
Stando a quanto riportato dagli stessi responsabili dell’azienda, però, gli ottimi tempi di risposta non corrisponderebbero ad altrettanto ottimi tempi nell’individuazione del bug, che sarebbe stato presente dalla bellezza di 5 mesi, cioè dal 22 settembre 2016.
CloudFlare assicura di avere sistemato tutto, collaborando anche con i motori di ricerca per “ripulire” la cache da eventuali informazioni riservate finite al suo interno.
Feb 05, 2024 0
Dic 21, 2023 0
Set 05, 2023 0
Ago 18, 2023 0
Dic 12, 2024 0
Dic 11, 2024 0
Dic 10, 2024 0
Dic 09, 2024 0
Dic 10, 2024 0
In Cina scoppia il mercato nero dei dati sensibili: oltre a...Dic 09, 2024 0
Quali strumenti vengono usati in Italia per tracciare gli...Dic 06, 2024 0
Sempre più gruppi hacker stanno sfruttando gli eventi...Dic 05, 2024 0
Il settore della cyber insurance si sta espandendo: se...Dic 04, 2024 0
Le festività e gli weekend sono i periodi peggiori per le...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Dic 12, 2024 0
Il team di sicurezza di Oasis ha scoperto una...Dic 11, 2024 0
I ricercatori di ESET hanno scoperto il primo bootkit...Dic 10, 2024 0
In Cina scoppia il mercato nero dei dati sensibili:Dic 09, 2024 0
Quali strumenti vengono usati in Italia per tracciare gli...Dic 09, 2024 0
La Cybersecurity and Infrastructure Security Agency (CISA)...