چگونه Cloudflare یک آسیب‌پذیری افشای داده بین-مستاجری در Containers را برطرف کرد
محققان امنیتی خارجی شرکت Accomplish یک آسیب‌پذیری در سرویس Containersِ Cloudflare شناسایی کردند که می‌توانست داده‌های باقیمانده از کار بارهای قبلی را افشا کند. در پست اصلی، Cloudflare نحوه عملکرد مشکل، روند بررسی آن و اقدامات اصلاحی انجام‌شده را توضیح داده است. این گزارشی کوتاه بر اساس منبع اصلی و با یک خلاصه تحلیلی مستقل است.
منبع: پست بلاگ رسمی Cloudflare
خلاصه وضعیت
محققان خارجی در شرکت Accomplish یک نقص امنیتی در سرویس Containersِ Cloudflare کشف کردند که می‌توانست موجب افشای داده‌های باقیمانده (residual disk data) متعلق به کار بارهای قبلی شود و در نتیجه اطلاعات بین مستاجران مختلف به اشتراک گذاشته شود. در پست خود، Cloudflare توضیح داده است که چگونه این مشکل عمل می‌کرد، تیم چگونه آن را بررسی کرد و چه اقداماتی برای اصلاح اجرا شد. جزئیات فنی دقیق و شماره CVE یا نسخه‌های متاثر فقط در منبع اصلی ذکر شده‌اند (در این بازنویسی از افزودن یا حدس هر اطلاعاتی خودداری شده است).
آنچه از منبع اصلی به‌دست می‌آید
- کشف اولیه توسط محققان خارجی (Accomplish) انجام شده است.
- Cloudflare در پست خود روند تحقیق و اقدامات اصلاحی را گزارش کرده است.
- متن اصلی توضیحات فنی، دامنه تاثیر و مراحل اصلاح را تشریح می‌کند؛ برای جزئیات فنی دقیق باید به پست اصلی مراجعه کنید.
خلاصه تحلیلی مستقل (بر اساس اطلاعات عمومی درباره چنین کلاس‌های آسیب‌پذیری)
افشای داده‌های باقیمانده روی دیسک در محیط‌های چندمستاجری (multi-tenant) یک ریسک شناخته‌شده است که پیامدهای زیر را دارد:
- سرقت اطلاعات حساس کاربر یا سرویس‌های دیگر،
- نقض حریم خصوصی و رعایت‌نشدن الزامات قانونی یا قراردادی،
- از دست رفتن اعتماد مشتری و هزینه‌های پاسخ به حادثه.
توصیه‌های عمومی که در مواجهه با این نوع مشکلات متداول است (بدون آنکه ادعا شود Cloudflare دقیقاً این موارد را اجرا کرده است):
- پاک‌سازی یا صفرکردن امن فضای ذخیره‌سازی هنگام بازیابی یا بازنشانی دیسک‌ها،
- استفاده از جداسازی رمزنگاری‌شده برای هر مستاجر،
- اجرای مکانیزم‌های قوی برای ایزوله‌سازی منابع در سطح میزبانی کانتینر/VM،
- بررسی، آزمون و بازبینی تنظیمات سیستم‌عامل و لایه‌های مدیریت ذخیره‌سازی در چرخه توسعه،
- برنامه‌های پاسخ به رخداد، اطلاع‌رسانی شفاف به مشتریان و انتشار گزارش فنی برای جامعه امنیتی، و
- همکاری با محققان خارجی و استفاده از برنامه‌های کشف آسیب‌پذیری برای کمک به شناسایی سریع‌تر مشکلات.
خاتمه
برای مطالعه توضیحات فنی، دامنه تاثیر و راه‌حل‌های واقعی اجراشده توسط Cloudflare، به پست اصلی در وبلاگ Cloudflare مراجعه کنید. این نوشته بر پایه اطلاعات منتشرشده در منبع اصلی است و جزئیات فنی اضافی یا حدسی در آن وارد نشده است.