Bug in Cloudflare, rivelati i dati sensibili di oltre 5 milioni di siti

Colpiti anche clienti illustri come Uber, 1Password e FitBit.



[ZEUS News - www.zeusnews.it - 24-02-2017]

bug cloudflare

Sono più di 5 milioni e mezzo i siti web che si affidano ai servizi di Cloudflare, azienda che offre servizi di reverse proxy e di caching.

Il motivo di tanta popolarità sta nel fatto che Cloudflare promette di velocizzare i tempi di caricamento delle pagine web e di proteggere i siti dalla presenza di utenti indesiderati.

Il guaio è che di recente proprio in Cloudflare è stato scoperto un bug che, se sfruttato, permette di sottrarre informazioni quali password, cookie e token usati per autenticarsi presso i siti.

Il problema risiede nel parser HTML usato da Cloudflare per modificare le pagine web prima di servirle (per esempio ottimizzando i JavaScript, riducendo le dimensioni degli elementi contenuti, convertendo i link HTTP in link HTTPS e via di seguito): quando il parser viene usato in collaborazione con altri servizi (l'offuscamento dell'email, oppure il SSE o ancora l'Automatic HTTPS Rewrite) il contenuto di parte della memoria può finire nella risposte HTTP.

La situazione è particolarmente grave non soltanto perché pare che il bug sia stato sfruttato sin dallo scorso settembre, ma anche perché pare che alcuni dei dati resi visibili siano finiti nella cache di Google, e siano dunque ora facilmente accessibili.

A riconoscere la pericolosità della situazione è la stessa Cloudflare che per bocca del suo CTO, John Graham-Cumming, afferma: «Il bug è grave perché le porzioni di memoria compromesse possono contenere informazioni private e perché esse sono state messe in cache dai motori di ricerca».

L'azienda s'è subito messa in contatto con i motori, chiedendo la rimozione delle informazioni, e s'è naturalmente attivata per individuare correggere il bug.

Sondaggio
Quali sono i rischi maggiori del cloud computing?
Distributed Denial of Service (DDoS): cresce l'impatto dei tempi di indisponibilitÓ di un sito web, che possono costare perdite di milioni di euro in termini di introiti, produttivitÓ e immagine aziendale.
Frode: perpetrata da malintenzionati con l'obiettivo di trafugare i dati di un sito e creare storefront illegittimi, o da truffatori che intendono impadronirsi di numeri di carte di credito, la frode tende a colpire - prima o poi - tutte le aziende.
Violazione dei dati: le aziende tendono a consolidare i dati nelle applicazioni web (dati delle carte di credito ma anche di intellectual property, ad esempio); gli attacchi informatici bersagliano i siti e le infrastrutture che le supportano.
Malware del desktop: un malintenzionato riesce ad accedere a un desktop aziendale, approfittandone per attaccare i fornitori o le risorse interne o per visualizzare dati protetti. Come il trojan Zeus, che prende il controllo del browser dell'utente.
Tecnologie dirompenti: pur non essendo minacce nel senso stretto del termine, tecnologie come le applicazioni mobile e il trend del BYOD (bring-your-own-device) stanno cambiando le regole a cui le aziende si sono attenute sino a oggi.

Mostra i risultati (1270 voti)
Leggi i commenti (6)

Tra i clienti di Cloudflare rimasti vittime del bug ci sarebbero nomi importanti come Uber, 1Password, FitBit e OKCupid. Cloudflare non conferma ma tende anzi a minimizzare, affermando che soltanto 150 suoi clienti sarebbero stati colpiti.

Al momento la situazione dovrebbe essere tornata alla normalità: alcuni servizi (come l'offuscamento degli indirizzi email) sono stati sospesi in quanto ritenuti causa del problema e saranno ripristinati quando Cloudflare sarà sicura che i problemi non si ripeteranno (aggiornamento ore 17: sono stati ripristinati).

Per quanto riguarda i dati finiti nelle cache di motori di ricerca, è vero che la loro rimozione è stata tempestiva, ma in alcuni casi parte di essi sono stati catturati e si possono trovare con una certa facilità nei social network.

Non è escluso, specie se si considera che il bug era in realtà presente da mesi, che dati sensibili abbiano preso la via del dark web e siano finiti in mani sbagliate.

Ti invitiamo a leggere la pagina successiva di questo articolo:
Allarme generale per Cloudbleed

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) o segnalare un refuso.
© RIPRODUZIONE RISERVATA

Approfondimenti
Siti Https di Visa vulnerabili al ''forbidden attack''
Bug di SAP corretto anni fa, ma vulnerabilità ancora diffusa
Cosa trovare nel Deep Web, Paese per Paese
Internet, non è stato il più grande attacco della storia
Il più grande attacco DDoS della storia di Internet

Commenti all'articolo (3)

Certo che se i siti li proteggono in questo modo credo che anche arare la terra sia per loro un pochino troppo impegnativo... :roll:
4-3-2017 14:12

{stefy}
@fram: condivido. Per me cloudflare è una vergogna di Internet, e oltretutto confermo la loro inettitudine, vista la stupidità e l'arroganza dei loro captcha, che affliggono chi vuole solo navigare un sito "protetto" da loro. Spero che abbiano molte cause e vadano ad arare la terra, menstiere che almeno... Leggi tutto
27-2-2017 11:25

{fram}
Dal mio punto di vista è un fattore previsto: chissà quanti clienti perderà a causa del danno d'immagine, senza contare eventuali azioni legali nei suoi confronti. Quando navigo in Internet, mi trovo spesso questo "servizio" a chiedermi di riconoscere cartelli stradali, insegne di negozi e... Leggi tutto
25-2-2017 22:22

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News. Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
Come ti colleghi a Internet da casa?
Fibra ottica 300 Mega o superiore
Fibra ottica 100-200 Mega
Fibra ottica 20-50 Mega
Fibra ottica 10 Mega
Adsl 20 Mega o superiore
Adsl fino a 10 Mega
Adsl fino a 5 Mega
Adsl fino a 2 Mega
Smartphone
Chiavetta
Via Satellite
Wi-Max

Mostra i risultati (3165 voti)
Marzo 2021
Sciami di router nelle nostre case conoscono la nostra posizione
Febbraio 2021
Nuovi Mac, gli SSD durano pochissimo
Elettrodomestici, A+++ può diventare B o C
Se non accetti le nuove condizioni, WhatsApp ti cancella l'account
Come perdere mezzo miliardo: non serve smarrire la password del wallet Bitcoin
Sms svuota conto corrente: occhio alla truffa
Vendere o comprare una casa online all'asta (senza Tribunale)
Hacking e caffeina: 167.772 euro da spendere in caffè
Arriva LibreOffice 7.1 Community ma è importante non usarlo in azienda
Didattica a distanza, genio su Zoom
La Stampa, L’Espresso, il Corriere e il metodo redazionale: nessuno rilegge
Sgominato Emotet, la madre di tutti i malware
Gennaio 2021
iPhone 12 e pacemaker, meglio che stiano lontani
Minori su Tik Tok, accesso con Spid?
Il disastro tragicomico di Parler
Tutti gli Arretrati
Accadde oggi - 2 marzo


web metrics