谷歌发现大BUG!科技公司CloudFlare泄露用户信息长达数月

一名谷歌研究人员发现了一起令人担忧的网站信息泄漏事件,涉及大量密码、私人通信和敏感数据,受损的不乏Uber、FitBit和OKCupid等大型科技公司,这可能是2017年开年以来最严重的一起泄漏事件。

wKiom1iziYiCMgYDAABqohCjqaQ068.jpg-wh_651x-s_3350932327

由于出现漏洞的是颇受欢迎的科技公司CloudFlare,许多人戏称这一事件为“CloudBleed”。这起因代码问题引起的危机和臭名昭著的2015年Heartbleed漏洞并无二致,后一起事件涉及200多万个网站,任何人都能读取系统的运行内存。

要命的是,搜索引擎居然在缓存这些泄漏信息。此外,CloudFlare往往通过同一台服务器来管理不同站点的内容,因此,当恶意人士请求获取一个网站的信息时,其他网站的信息也会被泄露。

“比方说,你浏览的是Uber的页面,但收到了okcupid.com的信息。”Pen Test Partners的白帽黑客Andrew Tierney说道,“任何人都可以获取这些敏感数据,甚至无需主动攻击。我妈妈可能仅仅因为登上了CloudFlare的网站而收到别人浏览器缓存中的登录密码。”

著名的谷歌bug猎手Tavis Ormandy首先发现了这个问题,并在2月17日通报给了CloudFlare。在其模拟攻击中,他收到了服务器“送来”的加密密钥、密码,甚至其他用户的HTTPS请求。

在之后的一篇博文中,Tavis发现,这个问题变得越发严重。“我发现主流相亲网站上的私人信件、在线密码管理者数据、成人网站的框架、酒店预订信息等等,所有的HTTPS请求、客户IP地址、全部的回复、数据包、密码、密钥、数据都被泄漏了。”

Ormandy说,CloudFlare后来给他发来了一封信,把“这一漏洞给用户带来的风险说得轻描淡写”。不过,对于该公司在本周四发表的最终公告,Ormandy并未作更多评价。在这份公告中,CloudFlare表示:“这一漏洞非常严重,因为我们知道所泄漏的内容包括私人信息,这些信息甚至被搜索引擎缓存了下来。与此同时,我们并未发现任何恶意钻这一漏洞的人士,也没有更多有关该漏洞的汇报。”

“该漏洞的关键影响期在2月13日至2月18日,在每330万个HTTP请求中,会有1个请求遇到信息泄漏的状况(也就是说泄漏发生的概率为0.00003%)。”该公司承认,最早的数据泄漏可能出现在2016年9月22日。

目前,众多CloudFlare上的网站内容已经上传到了GitHub,不过我们并不清楚哪些网站的信息遭到了泄露。上传GitHub列表的人士表示,建议所有使用CloudFlare服务的公司的用户更改密码,以防万一。

可以在这里查询是不是用CloudFlare:http://www.doesitusecloudflare.com/

 

*来源:猎云网,转载请注明来自MottoIN

原创文章,作者:Jarry,如若转载,请注明出处:http://www.mottoin.com/news/97185.html

发表评论

登录后才能评论

联系我们

021-62666911

在线咨询:点击这里给我发消息

邮件:root@mottoin.com

工作时间:周一至周五,9:30-18:30,节假日休息

QR code