Abo
  • Services:

Geleakte Kundendaten: Cloudflare zieht Cloudbleed-Bilanz

Wie schlimm war Cloudbleed wirklich? Mit Hilfe einer Analyse der eigenen Datensätze will Cloudflare das beantworten.

Artikel veröffentlicht am ,
Cloudflare schaut, wie schlimm Cloudbleed war.
Cloudflare schaut, wie schlimm Cloudbleed war. (Bild: Martin Wolf/Golem.de)

Der Anti-DDoS-Anbieter Cloudflare hat in einem Blogpost durchgerechnet, wie viele Webseiten von der Cloudbleed-Sicherheitslücke im HTML-Parser des Unternehmens betroffen waren. Dazu hat das Unternehmen die eigenen Log-Dateien ausgewertet.

Inhalt:
  1. Geleakte Kundendaten: Cloudflare zieht Cloudbleed-Bilanz
  2. Verwundbarer Parser ab Februar auf deutlich mehr Seiten

Das Unternehmen schreibt: "Obwohl der Bug schlimm war, hätten die Dinge noch deutlich schlechter laufen können." Man habe aber keine Hinweise darauf gefunden, dass der Bug tatsächlich in bösartiger Weise ausgenutzt wurde. Außerdem seien bei der überwiegenden Zahl der Kunden keine Daten geleakt worden.

Der Parser wird nach Angaben von Cloudflare genutzt, um verschiedene Funktionen zu automatisieren, etwa die Umschreibung von HTTP- zu HTTPS-Links, oder der Schutz von E-Mail-Adressen vor automatischen Mail-Adressen-Sammlern. Damit der Bug ausgenutzt werden konnte, mussten zwei Bedingungen erfüllt sein.

HTML "auf bestimmte Art und Weise kaputt"

Erstens musste das HTML der angefragten Seite "auf eine bestimmte Art und Weise kaputt sein", zweitens mussten bestimmte Cloudflare-Dienste aktiv sein. Konkret tauchte der Fehler immer dann auf, wenn eine angefragte Webseite mit einem unbestimmten Attribut endete.

Stellenmarkt
  1. Universität Passau, Passau
  2. Bundeskriminalamt, Wiesbaden

Den durch den Bug verursachten Schaden analysiert Cloudflare in zwei Stufen. Im ersten Zeitraum zwischen dem 22. September 2016 und dem 13. Februar 2017 seien weniger als 180 Seiten betroffen gewesen. Eine Analyse der Webseitenaufrufe habe zudem ergeben, dass der Bug 605.037-mal ausgelöst wurde.

Verwundbarer Parser ab Februar auf deutlich mehr Seiten 
  1. 1
  2. 2
  3.  


Anzeige
Top-Angebote
  1. 239€ oder 189€ mit 0%-Finanzierung und Gutschein: HARDWARE50 (Vergleichspreis 273,89€)
  2. mit Gutschein: HARDWARE50 (nur für Neukunden, Warenwert 104 - 1.000 Euro)
  3. 379€ (aktuell günstigster 27"-Monitor mit 144 Hz und WQHD)
  4. (u. a. Dragon's Dogma: Dark Arisen für 6,66€ und Disciples III Gold für 1,49€)

smirg0l 03. Mär 2017

Akamai ist aber nur ein reines CDN, während bei CloudFlare alles über diese geroutet...

Mithrandir 03. Mär 2017

Und wie viele davon bieten eine kostenfreie Version mit API an? So, aus Interesse... Es...

hg (Golem.de) 02. Mär 2017

Im Blogpost steht dazu: "For a limited period of time we keep a debugging log of requests...


Folgen Sie uns
       


Volocopter auf der Cebit 2018 angesehen

Im autonomen Volocopter haben zwei Personen mit zusammen höchstens 160 Kilogramm Platz - wir haben uns auf der Cebit 2018 trotzdem reingesetzt.

Volocopter auf der Cebit 2018 angesehen Video aufrufen
Shadow of the Tomb Raider angespielt: Lara und die Schwierigkeitsgrade
Shadow of the Tomb Raider angespielt
Lara und die Schwierigkeitsgrade

E3 2018 Düstere Höhlensysteme, eine prächtige Stadt in Südamerika und die Apokalypse: Im nächsten Tomb Raider erlebt Lara Croft wieder spannende Abenteuer. Beim Anspielen konnte Golem.de das ungewöhnliche System der Schwierigkeitsgrade kennenlernen.
Von Peter Steinlechner

  1. Remasters Tomb Raider 1 bis 3 bekommen neue Engine

IT-Jobs: Fünf neue Mitarbeiter in fünf Wochen?
IT-Jobs
Fünf neue Mitarbeiter in fünf Wochen?

Startups müssen oft kurzfristig viele Stellen besetzen. Wir waren bei dem Berliner Unternehmen Next Big Thing dabei, als es auf einen Schlag Bewerber für fünf Jobs suchte.
Ein Bericht von Juliane Gringer

  1. Frauen in IT-Berufen Programmierte Klischees
  2. Bitkom Research Höherer Frauenanteil in der deutschen IT-Branche
  3. Recruiting IT-Experten brauchen harte Fakten

Urheberrechtsreform: Die zehn Mythen des Leistungsschutzrechts
Urheberrechtsreform
Die zehn Mythen des Leistungsschutzrechts

Am Mittwoch gibt es eine wichtige Abstimmung zum Leistungsschutzrecht im Europaparlament. Leider werden von den Verfechtern des Gesetzes immer wieder Argumente ins Feld geführt, die keiner Überprüfung standhalten.
Eine Analyse von Friedhelm Greis

  1. Leistungsschutzrecht Nur Einschränkungen oder auch Chancen?
  2. Vor Abstimmung 100 EU-Abgeordnete lehnen Leistungsschutzrecht ab
  3. Urheberrecht EU-Staaten für Leistungsschutzrecht und Uploadfilter

    •  /