Dữ liệu người dùng của Uber, Fitbit, OkCupid, 1Password và các công ty hàng đầu bị rủi ro trong nhiều tuần do lỗ hổng nghiêm trọng CloudFlare. Lỗi 'Cloudbleed Bug' xảy ra vì server chạy vượt bộ đệm (buffer) và trả về bộ nhớ chứa thông tin riêng tư. Tương tự lỗi Heartbleed năm 2014. Lỗ hổng được báo cáo bởi nhà nghiên cứu bảo mật Google Tavis Ormandy. Graham-Cumming, CTO CloudFlare nói khó xác định nào trong 6 triệu trang web bị ảnh hưởng. Nhiều chuyên gia bảo mật tin Cloudbleed ảnh hưởng lớn hơn CloudFlare tuyên bố.
Hậu quả của lỗ hổng Cloudflare
Nhiều dịch vụ CloudFlare dựa vào phân tích HTML và sửa đổi nó on-the-fly. Cloudflare dùng parser viết bằng ragel và năm ngoái quyết định tự viết parser. Cả ragel và parser mới đều triển khai như nginx module. Mặc dù bug gây lỗ hổng luôn có trong parser ragel, khi parser mới đưa ra, cách parser tương tác với server thay đổi. Điều này gây tràn bộ nhớ (memory overflow) và lỗ hổng bộc lộ. Phân tích sâu nguyên nhân xem tại đây. Hậu quả trực tiếp của Cloudbleed:
- Công cụ tìm kiếm cache nhiều dữ liệu rò rỉ và hiển thị trên kết quả tìm kiếm
- Rò rỉ tin nhắn cá nhân trên mạng xã hội/hẹn hò
- Rò rưu thông tin định danh người dùng
- Cookie/Thông tin IP
Biện pháp phòng ngừa ngay lập tức
- Đổi mật khẩu. Từ FTP, cpanel, admin panel đến tất cả cái khác.
- Buộc người dùng đổi mật khẩu
- Nếu có thể, dùng xác thực hai yếu tố (2FA)
- Xóa cache trang web. Dọn cache cũ.
Câu hỏi được đặt ra
Ông Troy Hunt, Nhà truyền giáo An ninh Mạng nói trong blog:
Kể từ khi lỗ hổng bộc lộ, thái độ CloudFlare rất kiên định và thẳng thắn. Cả CEO và CTO CloudFlare đã phát biểu công khai và chịu trách nhiệm. Tuy nhiên, toàn bộ sự việc đặt ra câu hỏi về giải pháp reverse proxy mong đợi bạn định tuyến traffic web qua họ. Hậu quả lớn nhất của giải pháp như vậy là nếu server bị hack, tất cả trang web đều sập. Như thấy với CloudFlare, với một lỗi, hàng triệu trang web rơi vào rủi ro.
Chúng tôi tương tác với Rafay Baloch, nhà nghiên cứu bảo mật nổi tiếng và tác giả để lấy ý kiến. Điều Rafay nói:
Một điểm rất thú vị của Rafay. Công ty bảo mật không nên bỏ qua sức mạnh của nhà nghiên cứu bảo mật và khả năng bypass WAF tốt nhất thế giới. Chúng tôi sớm viết thêm về chủ đề giải pháp bảo mật hoàn chỉnh nên chứa thành phần 'Responsible Disclosure' (Công bố trách nhiệm).
Khi xây dựng Astra, một lý do chính không dùng reverse proxy implementation là tránh tình huống như này: tất cả người dùng bị rủi ro vì một lỗ hổng trong hạ tầng của chúng tôi.