En Project Zero # 1139 , se reveló que CloudFlare tenía una error que revelaba la memoria no inicializada, la pérdida de datos privados enviados a través de ellos a través de SSL. ¿Cuál es el impacto real?
En Project Zero # 1139 , se reveló que CloudFlare tenía una error que revelaba la memoria no inicializada, la pérdida de datos privados enviados a través de ellos a través de SSL. ¿Cuál es el impacto real?
En comparación con la famosa fuga de errores HeartBleed, esto es similar en algunos aspectos: la exposición a la memoria sin inicializar significa que se divulgan datos privados no relacionados.
Esto solo afectó al código que se ejecuta en CloudFlare, y el error dejó de funcionar una hora después de la notificación. No se pueden filtrar datos nuevos a través de este error.
Si alguien tuviera conocimiento de este error, no podría atacar a un individuo con él. Las sesiones volcadas parecen ser aleatorias.
CloudFlare tiene registros, y no han revelado ninguna indicación de que alguien haya sabido y explotado este error.
El tamaño de los volcados de memoria sin inicializar es enorme. Capturan regularmente encabezados HTTP completos y secciones sustanciales del cuerpo de la solicitud. Esto prácticamente proporciona todos los datos necesarios para secuestrar una sesión, y si se capturara una sesión de inicio de sesión, por supuesto incluiría la contraseña.
Era una ruleta de sesión libre. Las solicitudes repetidas a direcciones URL no válidas simplemente volcarán más y más datos aleatorios.
Si alguien estuviera al tanto de esto, podría haber creado una página que causó que se crearan volcados de datos de tamaño casi arbitrario, o incluso que repetidamente golpeara una URL no válida ya existente.
Un usuario final podría verse comprometido sin ninguna debilidad en la parte del sitio web o el usuario.
Unos pocos usuarios desafortunados seguirán teniendo esos datos filtrados en cachés después de esta divulgación, y serán ampliamente divulgados. Si esas cookies de sesión no son invalidadas, prácticamente se garantiza que alguien iniciará sesión en sus cuentas.
Limitar la vida útil de los tokens de sesión y hacer uso de la autenticación de dos factores adecuada solucionaría la pérdida de datos a largo plazo, evitando que alguien adquiera una sesión de larga duración. Los clientes de CloudFlare podrían invalidar todas las cookies de sesión y forzar la rotación de todas las contraseñas, aunque es poco probable que ocurra.
CloudFlare afirma que no se filtraron las claves SSL privadas, ya que terminaron en procesos separados, por lo que si bien la clase de error normalmente generaría preocupación allí, no en este caso en particular.
Es una gran lección para la comunidad de seguridad de pensar acerca de posibles errores a largo plazo que tienen un radio de explosión masivo. Es probable que la mayoría de las personas no se vean afectadas, aunque como se señaló anteriormente, algunas personas habrán perdido la Lotería de la mala suerte.
Lea otras preguntas en las etiquetas incident-analysis known-vulnerabilities threat-modeling incident-response threat-mitigation