• IT-Karriere:
  • Services:

Speicherleck: Cloudflare verteilt private Daten übers Internet

Durch einen Bug im HTML-Parser des CDN-Anbieters Cloudflare verteilte dieser private Nachrichten von Datingbörsen, Passwörter und interne Keys über unzählige Webseiten. Vieles davon fand sich in den Caches von Suchmaschinen wieder.

Artikel veröffentlicht am , Hanno Böck
Cloudflare hat zwar ein Bug-Bounty-Programm, für Entdecker von Sicherheitslücken gibt's jedoch nur ein T-Shirt.
Cloudflare hat zwar ein Bug-Bounty-Programm, für Entdecker von Sicherheitslücken gibt's jedoch nur ein T-Shirt. (Bild: Cloudflare)

Am vergangenen Freitag sendete der Google-Sicherheitsexperte Tavis Ormandy einen Tweet, in dem er dringend nach einem Security-Kontakt bei Cloudflare fragte. Der Hintergrund dieses Tweets ist dramatisch: Ein Bug bei Cloudflare führte dazu, dass sehr sensible Daten von unzähligen Nutzern im Internet verteilt wurden.

Inhalt:
  1. Speicherleck: Cloudflare verteilt private Daten übers Internet
  2. Ein T-Shirt als Bug Bounty

Cloudflare dürfte zwar nur technikaffinen Nutzern bekannt sein, das Content-Delivery-Netzwerk wird jedoch von zahlreichen Webseiten genutzt, darunter viele bekannte Dienste wie Uber, OkCupid, StackOverflow und Medium.

Cloudflare bietet verschiedene Features an, die Änderungen an den Kundenwebseiten vornehmen. Darunter beispielsweise eine Funktion, die automatisch Mailadressen via Javascript unlesbar macht, um Spammen zu erschweren, oder eine Möglichkeit, automatisch HTTP-URLs, die via HTTPS verfügbar sind, umzuschreiben. Für derartige Zwecke nutzt Cloudflare Module im Webserver Nginx, die den HTML-Code einlesen und umschreiben.

C-Parser liest über Puffer-Grenzen hinweg

Der betroffene Parser von Cloudflare war in Ragel geschrieben. Ragel wiederum erzeugt C-Code.

Stellenmarkt
  1. über duerenhoff GmbH, Raum Siegen
  2. Fraunhofer-Institut für Fabrikbetrieb und -automatisierung IFF, Magdeburg

Der Bug selbst war ein sehr typischer C-Bug: Der Code liest in bestimmten Fällen über das Ende eines Speicherbereichs hinweg, da ein Check übersprungen werden kann. Das war der Fall, wenn ein unvollständiger HTML-Tag in einer Webseite auftauchte. Ormandy schreibt, dass er sich schwer tat, den Bug nicht Cloudbleed zu nennen - eine Anspielung auf den Heartbleed-Bug in OpenSSL, der eine sehr ähnliche Ursache hatte.

Der eingelesene Speicher, der nun alles Mögliche enthalten kann - auch Daten von anderen Webseiten - wurde mit den HTTP-Antworten des Servers verschickt. Aus dem Bericht von Tavis Ormandy geht hervor, dass darunter wohl sehr sensible Daten waren, etwa private Nachrichten von Nutzern auf Datingbörsen, Chatnachrichten und Hotelbuchungen. Cloudflare schreibt jedoch, dass HTTPS-Zertifikate nicht betroffen sind, da diese in einem anderen Speicherbereich abgelegt waren.

Der Bug befand sich laut Cloudflare schon seit vielen Jahren in dem Code, jedoch trat der Bug lange Zeit nicht auf. Der Grund dafür ist ironischerweise ein neuer Parser, der eingeführt wurde, weil Cloudflare den alten Ragel-Code eigentlich ablösen will. Der neue Parser hatte zwar keinen Bug, aber durch seine Einführung änderte sich die Art und Weise, wie Speicherbereiche an den alten Parser weitergegeben wurden. Daher tritt der Bug nur auf, wenn der alte und der neue Parser gleichzeitig genutzt werden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Ein T-Shirt als Bug Bounty 
  1. 1
  2. 2
  3.  


Anzeige
Spiele-Angebote
  1. (-67%) 7,59€
  2. (-62%) 5,70€
  3. (u. a. FIFA 20 für 27,99€, Dragon Ball Z Kakarot für 46,89€, Rainbow Six: Siege Deluxe für 8...
  4. 14,29€

die Schwarte Katze 25. Okt 2017

ich wollte eigentlich den antworten: https://forum.golem.de/kommentare/security...

die Schwarte Katze 25. Okt 2017

Hi ich finde das interessant da ich bei allen cloudflare Seiten das Bekomme: https://www...

torrbox 24. Feb 2017

Du hast gerade die neue Abmahnfalle gefunden. ;)

Mithrandir 24. Feb 2017

Cloudflare verschick momentan Emails im Namen von Matthew Prince (mit seiner Email...

Proctrap 24. Feb 2017

siehe anderer thread, per state machine erzeugten code genommen und absichtlich geändert...


Folgen Sie uns
       


O2 Free Unlimited im Test

Wir haben die beiden in der Geschwindigkeit beschränkten Smartphone-Tarife von Telefónica getestet, die eine echte Datenflatrate anbieten. Selbst der kleine Tarif O2 Free Unlimited Basic ist für typische Smartphone-Aufgaben ausreichend.

O2 Free Unlimited im Test Video aufrufen
Alternatives Android im Test: /e/ will Google ersetzen
Alternatives Android im Test
/e/ will Google ersetzen

Wie Google, nur mit Privatsphäre - /e/ verbindet ein alternatives Android mit Cloudfunktionen und einer Suchmaschine.
Ein Test von Moritz Tremmel


    Coronakrise: Hardware-Industrie auf dem Weg der Besserung
    Coronakrise
    Hardware-Industrie auf dem Weg der Besserung

    Fast alle Fabriken für Hardware laufen wieder - trotz verlängertem Chinese New Year. Bei Launches und Lieferengpässen sieht es anders aus.
    Ein Bericht von Marc Sauter

    1. Kaufberatung (2020) Die richtige CPU und Grafikkarte
    2. SSDs Intel arbeitet an 144-Schicht-Speicher und 5-Bit-Zellen

    Coronavirus: Spiele statt Schule
    Coronavirus
    Spiele statt Schule

    Wer wegen des Coronavirus mit Kindern zu Hause ist, braucht einen spannenden Zeitvertreib. Unser Autor - selbst Vater - findet: Computerspiele können ein sinnvolles Angebot sein. Vorausgesetzt, man wählt die richtigen.
    Von Rainer Sigl

    1. CCC "Contact Tracing als Risikotechnologie"
    2. Coronapandemie Robert Koch-Institut sammelt Gesundheitsdaten von Sportuhren
    3. Google Chrome rollt Regeln für Same-Site-Cookies vorerst zurück

      •  /