Bug in Cloudflare, rivelati i dati sensibili di oltre 5 milioni di siti

Sono più di 5 milioni e mezzo i siti web che si affidano ai servizi di Cloudflare, azienda che offre servizi di reverse proxy e di caching.

Il motivo di tanta popolarità sta nel fatto che Cloudflare promette di velocizzare i tempi di caricamento delle pagine web e di proteggere i siti dalla presenza di utenti indesiderati.

Il guaio è che di recente proprio in Cloudflare è stato scoperto un bug che, se sfruttato, permette di sottrarre informazioni quali password, cookie e token usati per autenticarsi presso i siti.

Leggi anche:

Cerca un sicario nel dark web per sfregiare la fidanzata

Siti Https di Visa vulnerabili al ''forbidden attack''

Bug di SAP corretto anni fa, ma vulnerabilità ancora diffusa

Cosa trovare nel Deep Web, Paese per Paese

Il problema risiede nel parser HTML usato da Cloudflare per modificare le pagine web prima di servirle (per esempio ottimizzando i JavaScript, riducendo le dimensioni degli elementi contenuti, convertendo i link HTTP in link HTTPS e via di seguito): quando il parser viene usato in collaborazione con altri servizi (l'offuscamento dell'email, oppure il SSE o ancora l'Automatic HTTPS Rewrite) il contenuto di parte della memoria può finire nella risposte HTTP.

La situazione è particolarmente grave non soltanto perché pare che il bug sia stato sfruttato sin dallo scorso settembre, ma anche perché pare che alcuni dei dati resi visibili siano finiti nella cache di Google, e siano dunque ora facilmente accessibili.

A riconoscere la pericolosità della situazione è la stessa Cloudflare che per bocca del suo CTO, John Graham-Cumming, afferma: «Il bug è grave perché le porzioni di memoria compromesse possono contenere informazioni private e perché esse sono state messe in cache dai motori di ricerca».

L'azienda s'è subito messa in contatto con i motori, chiedendo la rimozione delle informazioni, e s'è naturalmente attivata per individuare correggere il bug.

Tra i clienti di Cloudflare rimasti vittime del bug ci sarebbero nomi importanti come Uber, 1Password, FitBit e OKCupid. Cloudflare non conferma ma tende anzi a minimizzare, affermando che soltanto 150 suoi clienti sarebbero stati colpiti.

Al momento la situazione dovrebbe essere tornata alla normalità: alcuni servizi (come l'offuscamento degli indirizzi email) sono stati sospesi in quanto ritenuti causa del problema e saranno ripristinati quando Cloudflare sarà sicura che i problemi non si ripeteranno (aggiornamento ore 17: sono stati ripristinati).

Per quanto riguarda i dati finiti nelle cache di motori di ricerca, è vero che la loro rimozione è stata tempestiva, ma in alcuni casi parte di essi sono stati catturati e si possono trovare con una certa facilità nei social network.

Non è escluso, specie se si considera che il bug era in realtà presente da mesi, che dati sensibili abbiano preso la via del dark web e siano finiti in mani sbagliate.

Ti invitiamo a leggere la pagina successiva di questo articolo:
Allarme generale per Cloudbleed