クラウドブリード

Cloudbleedは、2017年2月17日にProject Zeroによって公開されたCloudflareの バッファオーバーフローです。Cloudflareのコードは、HTTP Cookie、認証トークン、HTTP POST本体、その他の機密データなど、他の顧客の個人情報を含むメモリの内容を公開しました。 ^[1]その結果、Cloudflareの顧客のデータは、サーバーメモリにアクセスできる他のすべてのCloudflare顧客に漏洩しました。当時Cloudflareが提供した数字によると、これが問題が修正されるまでに18,000,000回以上発生しました。^{[2] [3]}漏洩したデータの一部は検索エンジンによってキャッシュされました。^{[3] [4] [5] [6] [7] [8]}

この発見は、GoogleのProject Zeroチームによって報告された。^[1] Tavis Ormandy氏^[9]は、彼のチームの問題追跡システムに問題を投稿し、2月17日にCloudflareに問題を報告したと述べた。彼は独自の概念実証攻撃で、Cloudflareサーバーに「大手出会い系サイトからのプライベートメッセージ、有名なチャットサービスからの完全なメッセージ、オンラインパスワードマネージャーデータ、アダルトビデオサイトのフレーム、ホテルの予約。完全なhttpsリクエスト、クライアントIPアドレス、完全な応答、クッキー、パスワード、キー、データ、すべて」を返させた。^[1]

Cloudbleedの影響は、2014年のHeartbleedバグに匹敵します。つまり、許可されていない第三者が、ウェブサーバー上で実行されているプログラムのメモリ内のデータにアクセスでき、これにはTLSによって転送中に保護されていたデータも含まれます。^{[10] [11]} Cloudbleedは、約200万のウェブサイトにサービスを提供するコンテンツ配信ネットワークに影響を与えたため、Heartbleedと同じくらい多くのユーザーに影響を与えた可能性があります。^{[4] [11]}

この脆弱性を最初に発見したタヴィス・オーマンディは、すぐにハートブリードとの比較を行い、報告書の中で「この問題を『クラウドブリード』と呼ばないように全力を尽くした」と述べた。^[1]

2017年2月23日木曜日、Cloudflareは次のような投稿をした。^[12]

このバグは、漏洩したメモリに個人情報が含まれている可能性があり、検索エンジンによってキャッシュされていたため、深刻でした。また、このバグを悪用したという証拠や、バグの存在に関するその他の報告も見つかりませんでした。
最も影響が大きかったのは 2 月 13 日から 2 月 18 日までで、Cloudflare 経由の HTTP リクエスト 3,300,000 件につき約 1 件 (リクエストの約 0.00003%) でメモリ漏洩が発生する可能性があります。

Cloudflare は、2016 年 9 月 22 日にはメモリが漏洩していた可能性があることを認めた。同社はまた、マシン間暗号化に使用される自社の秘密鍵の 1 つが漏洩したと述べた。

メモリリークの原因となった根本的なバグは、Ragelベースのパーサーに長年存在していたが、内部のNGINXバッファの使用方法が原因でメモリリークが発生していなかったことが判明しました。cf-htmlの導入によりバッファリングが微妙に変更され、cf-html自体には問題がなかったにもかかわらず、メモリリークが発生しました。^[3]

CloudflareのCTOであるジョン・グラハム・カミング氏は、UberやOkCupidなどのCloudflareの顧客には、この状況に伴うセキュリティリスクのため、漏洩について直接通知されなかったと指摘した。「Cloudflareの外部へのバックドア通信はなく、Googleやその他の検索エンジンとのみ通信していました」と彼は述べた。^[6]

グラハム・カミング氏はまた、「残念ながら、潜在的なセキュリティ問題を抱えていたのは古いソフトウェアであり、その問題は移行の過程で初めて明らかになった」と述べた。同氏は、彼のチームがすでにソフトウェアに他の問題が起きないかテストを開始していると付け加えた。^[7]

タヴィス・オーマンディ氏は当初、「クラウドフレアの迅速な対応と、この不幸な問題の解決に全力を尽くしていることに本当に感銘を受けた」と述べていた。^[1]しかし、オーマンディ氏がクラウドフレアにさらなる情報を求めると、「彼らは意味不明な言い訳を何度も繰り返した」^[13]後、「顧客へのリスクを著しく軽視する」草稿を送ってきた。^[14]

Uberは、サービスへの影響は非常に限定的であると述べた。^[10] Uberの広報担当者は、「関係していたのは少数のセッショントークンのみで、その後変更されました。パスワードは漏洩していません。」と付け加えた。^[15]

OKCupidのCEO、エリー・セイドマン氏は次のように語った。「昨夜、CloudFlareからバグについて警告を受け、私たちはOkCupidの会員への影響を調査してきました。最初の調査では、たとえあったとしても、最小限の露出であることがわかりました。もし当社のユーザーに影響があると判断した場合は、速やかに通知し、保護措置を講じます。」^{[10] [15]}

Fitbitは、この事件を調査した結果、「影響を受けたのは少数の人々」だけであることが判明したと述べた。同社は、懸念のある顧客に対し、パスワードを変更し、アプリをアカウントから取り消して再度追加することでセッショントークンをクリアすることを推奨した。^[16]

ジェフリー・ゴールドバーグはブログ記事で、1Password のデータは Cloudbleed によって危険にさらされることはないと述べた。その理由として、同サービスではセキュア リモート パスワード プロトコル (SRP)が使用されていることを挙げている。このプロトコルでは、クライアントとサーバーがネットワーク上で秘密を共有することなく ID を証明できる。1Password のデータは、ユーザーのマスター パスワードと秘密のアカウント コードから派生したキーを使用してさらに暗号化されており、ゴールドバーグは、1Password のサーバーが侵害された場合でも資格情報は保護されると主張している。1Password は、このバグに関連する潜在的な侵害に対応して、ユーザーにマスター パスワードを変更するよう勧めていない。^[17]

多くの大手報道機関は、多要素認証で保護されたアカウントでさえ危険にさらされる可能性があるため、Cloudflareでホストされているサイトのユーザーにパスワードを変更するよう勧告した。^{[18] [19] [20] [7] [21]}モバイルアプリのパスワードも影響を受けた可能性がある。^[22] Arbor Networksの研究者は警告の中で、「私たちのほとんどにとって、この大規模な情報漏洩に対する唯一の真に安全な対応は、毎日使用するWebサイトとアプリ関連サービスのパスワードを更新することです...ほぼすべてです。」と示唆した。^[23]

しかし、 Inc. Magazineのサイバーセキュリティコラムニスト、ジョセフ・スタインバーグ氏は、「現在のリスクは、将来的にもっと大きな問題につながる『サイバーセキュリティ疲労』の増加によって支払われる代償よりもはるかに小さい」と述べ、パスワードを変更しないよう人々にアドバイスした。^[24]

• GitHub で Cloudflare DNS を使用しているドメインのリスト
• 影響を受けるドメインを素早く確認できるシンプルなウェブサイト
• 影響を受ける可能性のあるドメインに対してブックマークをチェックする Chrome 拡張機能
• Cloudbleed の説明 - インターネット上で最大の Web キャッシュ漏洩がどのようにして発生したか
• CloudBleed バグの影響を定量化する