Исходное сообщение
"Уязвимость в Cloudflare привела к утечке конфиденциальной ин..." Отправлено opennews, 24-Фев-17 22:50
В одной из крупнейших сетей доставки контента Cloudflare выявлена (https://blog.cloudflare.com/incident-report-on-memory-leak-c.../) ошибка, которая привела к утечке неинициализированных отрывков оперативной памяти прокси-серверов, которые могли содержать конфеденциальные данные, фигурирующие при обработке запросов  других сайтов. Проблема выявлена сотрудниками Google и получила кодовое имя "cloudbleed (https://bugs.chromium.org/p/project-zero/issues/detail?id=1139)" по аналогии с уязвимостью "Heartbleed (https://www.opennet.ru/opennews/art.shtml?num=39518)". Утечки совершались с 22 сентября 2016 года по 18 февраля 2017 года и приводили к появлению в открытом доступе такой информации, как пароли, закрытые сообщения, ключи для доступа к API и другие конфиденциальные данные. Информация утекала в составе ответов на случайные запросы, например, проведённые с 13 по 18 февраля измерения показали, что ежедневно отдавалось 100-200 тысяч страниц с частями неинициализированных блоков памяти, которые могли содержать приватные данные других сайтов. Хуже всего, что утекающие в результате ошибки данные оседали в кэше поисковых систем и могли быть выловлены злоумышленниками через отправку типовых поисковых запросов (Google уже вычистил проблемные страницы из поискового индекса и кэша). По предварительной оценке в числе вероятных жертв проблемы насчитывается около 4.3 млн доменов, среди которых многие известные сайты (https://github.com/pirate/sites-using-cloudflare/blob/master...), в том числе отечественные, которые были клиентами Cloudflare. Причиной утечки стала ошибка в реализации парсера разметки HTML, применяемого для разбора и замены содержимого страниц (например, замены ссылок с http:// на https://). Из-за ошибки к ответу на запрос присоединялся неинициализированный кусок памяти, который содержал данные, используемые в результате обработки других запросов на том же прокси-сервере. Например, читая news.ycombinator.com можно было получить в довесок блок с данными, который мог содержать пароль или сессионные cookie клиентов Uber или Digitalocean. URL: https://blog.cloudflare.com/incident-report-on-memory-leak-c.../ Новость: http://www.opennet.ru/opennews/art.shtml?num=46100