Abo
  • Services:

Geleakte Kundendaten: Cloudflare zieht Cloudbleed-Bilanz

Wie schlimm war Cloudbleed wirklich? Mit Hilfe einer Analyse der eigenen Datensätze will Cloudflare das beantworten.

Artikel veröffentlicht am ,
Cloudflare schaut, wie schlimm Cloudbleed war.
Cloudflare schaut, wie schlimm Cloudbleed war. (Bild: Martin Wolf/Golem.de)

Der Anti-DDoS-Anbieter Cloudflare hat in einem Blogpost durchgerechnet, wie viele Webseiten von der Cloudbleed-Sicherheitslücke im HTML-Parser des Unternehmens betroffen waren. Dazu hat das Unternehmen die eigenen Log-Dateien ausgewertet.

Inhalt:
  1. Geleakte Kundendaten: Cloudflare zieht Cloudbleed-Bilanz
  2. Verwundbarer Parser ab Februar auf deutlich mehr Seiten

Das Unternehmen schreibt: "Obwohl der Bug schlimm war, hätten die Dinge noch deutlich schlechter laufen können." Man habe aber keine Hinweise darauf gefunden, dass der Bug tatsächlich in bösartiger Weise ausgenutzt wurde. Außerdem seien bei der überwiegenden Zahl der Kunden keine Daten geleakt worden.

Der Parser wird nach Angaben von Cloudflare genutzt, um verschiedene Funktionen zu automatisieren, etwa die Umschreibung von HTTP- zu HTTPS-Links, oder der Schutz von E-Mail-Adressen vor automatischen Mail-Adressen-Sammlern. Damit der Bug ausgenutzt werden konnte, mussten zwei Bedingungen erfüllt sein.

HTML "auf bestimmte Art und Weise kaputt"

Erstens musste das HTML der angefragten Seite "auf eine bestimmte Art und Weise kaputt sein", zweitens mussten bestimmte Cloudflare-Dienste aktiv sein. Konkret tauchte der Fehler immer dann auf, wenn eine angefragte Webseite mit einem unbestimmten Attribut endete.

Stellenmarkt
  1. TÜV SÜD Gruppe, München
  2. BOS GmbH & Co. KG, Ostfildern bei Stuttgart

Den durch den Bug verursachten Schaden analysiert Cloudflare in zwei Stufen. Im ersten Zeitraum zwischen dem 22. September 2016 und dem 13. Februar 2017 seien weniger als 180 Seiten betroffen gewesen. Eine Analyse der Webseitenaufrufe habe zudem ergeben, dass der Bug 605.037-mal ausgelöst wurde.

Verwundbarer Parser ab Februar auf deutlich mehr Seiten 
  1. 1
  2. 2
  3.  


Anzeige
Spiele-Angebote
  1. (-31%) 23,99€
  2. 50,99€ mit Vorbesteller-Preisgarantie
  3. (-15%) 33,99€
  4. (-83%) 4,99€

smirg0l 03. Mär 2017

Akamai ist aber nur ein reines CDN, während bei CloudFlare alles über diese geroutet...

Mithrandir 03. Mär 2017

Und wie viele davon bieten eine kostenfreie Version mit API an? So, aus Interesse... Es...

hg (Golem.de) 02. Mär 2017

Im Blogpost steht dazu: "For a limited period of time we keep a debugging log of requests...


Folgen Sie uns
       


The Crew 2 - Fazit

The Crew 2 bietet zum Teil wahnwitzige Neuerungen, stolpert im Test aber trotzdem über alte Fehler.

The Crew 2 - Fazit Video aufrufen
Gesetzesvorschlag: Regierung fordert Duldung privater Ladesäulen
Gesetzesvorschlag
Regierung fordert Duldung privater Ladesäulen

Die Bundesregierung hat ihren Entwurf zur Förderung privater Ladestationen für Elektroautos vorgelegt. Sowohl Mieter als auch Eigentümer erhalten damit einen gesetzlichen Anspruch. Aber es kann sehr teuer werden.
Ein Bericht von Friedhelm Greis

  1. Sono Motors Elektroauto Sion für 16.000 Euro schon 7.000 Mal reserviert
  2. Elektromobilität iEV X ist ein Ausziehelektroauto
  3. Elektroautos Bundesrechnungshof hält Kaufprämie für unwirksam

The Cycle angespielt: Wenn Freunde sich in den Rücken fallen
The Cycle angespielt
Wenn Freunde sich in den Rücken fallen

Unter 20 Leuten findet sich immer ein Verbündeter - und der ist bei The Cycle des Berliner Studios Yager wichtig, denn wir haben nur 20 Minuten, um Aufträge zu erfüllen und von einem Planeten zu fliehen. In der Closed Alpha klappte das nämlich nicht immer so, wie von uns beabsichtigt.
Ein Hands on von Marc Sauter

  1. Contracts Sniper Ghost Warrior 4 ohne offene Welt
  2. Human Head Studios Wikingerspiel Rune kommt in den Early Access
  3. Games Deutsche Spielentwickler verlieren weiter Marktanteile

IT-Jobs: Achtung! Agiler Coach gesucht?
IT-Jobs
Achtung! Agiler Coach gesucht?

Überall werden sie gesucht, um den digitalen Wandel voranzutreiben: agile Coaches. In den Jobbeschreibungen warten spannende Aufgaben, jedoch müssen Bewerber aufpassen, dass sie die richtigen Fragen stellen, wenn sie etwas bewegen möchten.
Von Marvin Engel

  1. Wework Die Kaffeeautomatisierung des Lebens
  2. IT-Jobs Fünf neue Mitarbeiter in fünf Wochen?
  3. Frauen in IT-Berufen Programmierte Klischees

    •  /