Cloudflare lekte geheugen met vertrouwelijke data websites
Door een geheugenlek bij internetdienst Cloudflare zijn de wachtwoorden, encryptiesleutels, cookies en andere gevoelige gegevens van een onbekend aantal websites gelekt die van de Cloudflare SSL Proxy gebruikmaakten. Het beveiligingsprobleem, dat inmiddels "Cloudbleed" wordt genoemd, werd door onderzoeker Tavis Ormandy van Google ontdekt.
Tijdens een ander onderzoek ontdekte Ormandy dat de servers van Cloudlare geheugen lekten. "Net zoals Heartbleed, maar Cloudflare-specifiek en veel erger", aldus Ormandy. Bij het inspecteren van het gelekte geheugen ontdekte hij encryptiesleutels, priveberichten, hotelboekingen, wachtwoorden, delen van POST-data en zelfs https-verzoeken van andere grote bij Cloudflare gehoste websites die van andere gebruikers afkomstig waren, alsmede ip-adressen van gebruikers van deze websites. "Zelfs onversleutelde api-verzoeken van een populaire wachtwoordmanager die via https waren verstuurd. "Ormandy stopte direct met het verdere onderzoek en waarschuwde Cloudflare.
"De situatie was bijzonder, aangezien persoonlijk identificeerbare informatie tijdens het normale gebruik door crawlers en gebruikers werd gedownload. Ze begrepen alleen niet wat ze te zien kregen", aldus de onderzoeker in een rapport over het beveiligingsprobleem. Cloudflare wist het probleem snel te achterhalen en schakelde verschillende features uit die van het kwetsbare onderdeel gebruikmaakten. De internetdienst benadrukt dat de ssl-privé sleutels van klanten niet zijn gelekt.
De periode waarin gegevens kunnen zijn gelekt bevindt zich tussen 22 september 2016 en 18 februari 2017. De meeste gegevens zouden echter vanaf 13 februari zijn gelekt. Het zou gaan om 0,00003 procent van alle http-verzoeken waarbij er geheugen kon lekken. Een bijkomend probleem was dat zoekmachines het gelekte geheugen hadden gecacht. Voor de openbaarmaking van de kwetsbaarheid zijn dan ook alle geïndexeerde gegevens verwijderd. Het ging in totaal om 770 unieke uri's die op 161 unieke domeinen betrekking hadden.
Uiteindelijk werd het probleem binnen 7 uur opgelost, waarbij de eerste noodoplossing 47 minuten na de melding van Ormandy was uitgerold. Hoeveel en welke websites door de kwetsbaarheid zijn getroffen laat Cloudflare in een eigen rapport over het incident niet weten. Ormandy meldt echter op Twitter dat het onder andere om https-sessies van gebruikers bij Uber, 1Password, FitBit en OKCupid gaat.
Wat voor consequenties heeft dat voor security.nl?
Waarom schrijft security.nl daar niet over?
Zijn alle security.nl gebruikers gewaarschuwd met een verzoek de account passwords te veranderen?
Waarom zo geheimzinnig?
We gaan naar de klote als we niet serieus een aantal zaken aan gaan pakken.
Wat voor consequenties heeft dat voor security.nl?
Waarom schrijft security.nl daar niet over?
Zijn alle security.nl gebruikers gewaarschuwd met een verzoek de account passwords te veranderen?
Waarom zo geheimzinnig?
Omdat ze misschien bezig waren met het volgende:
https://www.security.nl/posting/505132/Security_NL+incident-reponse+Cloudflare-kwetsbaarheid
0,00003 procent van heeeeeeeeeeel veeeeeeeeeel is nog steeds heeeeeel veeeeel.
No oS
Ben benieuwd hoe veel Nederlandse bedrijven hierdoor op achterstand werden gezet. De economische impact zal ook niet gering zijn. De globale spelers zorgden erg goed voor zichzelf en de boze vingertjes werden steeds richting het oosten geheven.
Maar eenmaal bedrogen, ga je er dan nogmaals in zee? Security.nl heeft haar lesje geleerd. En die yanks, die helpen zo alleen maar dat hun eigen verkozen isolationisme vaste voet krijgt.
alle passwords over de open cloutfake lijn en voor een half jaar lang gecached terug te vinden bij zoekmachines?
Mitm services zijn ruk!
Hey die heb ik ook! Ik heb hem snel wijzigen ;)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
