您的瀏覽器似乎不支援JavaScript語法,但沒關係,這裡的JavaScript語法並不會影響 到內容的陳述, 如需要選擇字級大小,IE6請利用鍵盤按住ALT鍵+ V → X → (G)最大 (L)較大(M)中(S)較小(A)小,來選擇適合您的文字大小, 而IE7或Firefox瀏覽器則可 利用鍵盤 Ctrl + (+)放大(-)縮小來改變字型大小,如需要回到上一頁可使用瀏覽器提 供的 Alt+左方向鍵(←) 快速鍵功能,列印可使用瀏覽器提供的(Ctrl+P)功能。
News Detail Banner
> 首頁 > 資安新聞

資安新聞

CloudFlare存在程式漏洞造成資料外洩

代理伺服器業者CloudFlare技術長John Graham-Cumming於2/23在其官方部落格(Blog)上證實,CloudFlare網站出現記憶體洩露漏洞,用戶密碼及個資可能曝光長達5個月。安全公司呼籲用戶修改所有網站密碼。漏洞出現在CloudFlare網站內的三項功能(Email Obfuscation、Server-side Excludes及Automatic HTTPS Rewrites)之中讀取網頁的HTMLParser程式碼中。Parser程式碼中原本該是”==”的地方,卻被打成了”>=”,導致緩衝溢位(Buffer Overflow),使大量CloudFlare伺服器的記憶體內容外洩,而可被前端HTTP呼叫。 

經CloudFlare追查,這段錯誤程式所在的服務,在2016/9/22就上線服役了,直到Google旗下的Project Zero安全研究員Tarvis Ormandy在2017/2/17發現了這項漏洞。當時Ormandy已發現大量知名網站用戶資料外洩,受害者從約會網站、知名通訊服務、密碼管理網站、成人影片網站、訂房網站等,外洩內容從完整HTTPS呼叫、用戶端IP位址、通訊內容、cookies、個人機密資訊、密碼、API Key、加密金鑰等等,只要隨意上CloudFlare查詢,全部都能輕易找到。Ormandy通知CloudFlare隔天(2/18),CloudFlare就立即完成修補,不過中間已經過了5個月。

由於CloudFlare是業界數一數二的網頁防火牆及代理伺服器(Proxy)業者,因此任何該公司代理伺服器,包括HTTP及HTTPS代理伺服器服務的所有網站客戶,都是此次漏洞的潛在受害者。CloudFlare說明,由於該公司是於隔離的NGINX環境下處理SSL連線,因此客戶的SSL加密金鑰並未外洩,同時也關閉了三項出問題的功能,防堵記憶體外洩情形。安全專家呼籲用戶應關閉所有網站的主動連線(active sessions)設定,而且最好應立即修改所有網站服務密碼,因為除了受影響的網站外,有些網站之中有些又可對未在外洩名單上的網站進行API呼叫,使後者遭到波及。

Reference

資料來源:
https://arstechnica.com/security/2017/02/serious-cloudflare-bug-exposed-a-potpourri-of-secret-customer-data/
https://blog.cloudflare.com/incident-report-on-memory-leak-caused-by-cloudflare-parser-bug/
https://support.cloudflare.com/hc/en-us/articles/115003625928-Latest-Information-on-the-Cloudflare-Parser-Bug
http://www.ithome.com.tw/news/112356
國家資通安全會報技術服務中心整理

Publish Date
2017/3/7 0:00:00