近日,一个可能影响互联网为之一颤的漏洞轰然出现,知名云安全服务商Cloudflare被爆泄露用户HTTPS网络会话中的加密数据长达数月,受影响的网站预计至少200万之多,其中涉及Uber、1password等多家知名互联网公司的服务。

云安全

据了解,Cloudflare为众多互联网公司提供CDN、安全等服务,帮助优化网页加载性能。然而由于一个编程错误,导致在特定的情况下,Cloudflare的系统会将服务器内存里的部分内容缓存到网页中。

因此用户在访问由Cloudflare提供支持的网站时,通过一种特殊的方法,可以随机获取来自其他人的会话中的敏感信息。这就好比你在发邮件时,执行一个特定操作就能随机获得他人的机密邮件。虽然是随机获取,可一旦有心之人反复利用该方法,就能积少成多就能获得大量私密数据。

听起来是不是有些像当年席卷整个互联网的心脏滴血漏洞? 因此也有网友称此次漏洞为“云滴血”。

可怕的是,该漏洞自首次被Google公司的安全人员发现,至今已有好几个月。也就是说,在这一期间甚至是在这之前,很可能有不法分子利用该漏洞,造访了所有Cloudflare提供服务的网站。而Cloudflare服务的互联网公司数量众多,其中不乏我们所熟知的优步(Uber)、OKCupid、Fibit等等。

漏洞最初是由谷歌Project Zero安全团队的漏洞猎人(国内称白帽子)塔维斯·奥曼迪发现的,当时他在谷歌搜索的缓存网页中发现了大量包括加密密钥、cookie和密码在内的数据。于是他很快告知Cloudflare , Cloudflare派出团队来处理此事,结果发现导致问题的几个重要操作分别发生在数天和数月之前。

有趣的是,漏洞发现者奥曼迪在帖子中特别提到,Cloudflare的漏洞赏金最高只奖励一件T恤。因此有网友开玩笑地表示:“据说是Google的人先把这个问题报告给Cloudflare ,但只被奖励了一件T恤,然后就在推特公开。”

关注中国IDC圈官方微信:idc-quan 我们将定期推送IDC产业最新资讯

查看心情排 行你看到此篇文章的感受是:


  • 支持

  • 高兴

  • 震惊

  • 愤怒

  • 无聊

  • 无奈

  • 谎言

  • 枪稿

  • 不解

  • 标题党
2019-07-30 19:15:23
云安全 腾讯牵头制定首个“零信任”安全技术行业标准
7月25日,在中国通信标准化协会CCSA TC8 WG3第60次工作会议上,由腾讯牵头提案的“零信任安全技术-参考框架”行业标准正式通过权威专家组评审并成功立项。 <详情>
2019-07-30 12:48:00
云安全 云安全的12个阴暗面
过去十年,云计算和云安全已经取得长足进步,越来越多的企业对云安全的认知,从最初的顾忌和恐慌,转变为盲目的信任和依赖。但是近年来随着国内外云安全事件的不断发作,企 <详情>
2019-07-30 12:26:08
云安全 长亭科技全线产品升级支持IPv6防护服务
IPv6 能够提供更广泛的互联网连接,促进物联网、人工智能等新技术应用的发展,是全球公认的下一代互联网解决方案。在国家政策的大力推动下,各行业IPv6改造都在如火如荼地 <详情>
2019-07-25 17:40:43
云资讯 多云和安全注意事项
随着企业将工作负载从内部数据中心迁移到云平台,采用多个云平台已经为各种规模的企业带来了一些变革性的运营实践。应用程序环境从内部部署转向公共云,从裸机转移到容器, <详情>
2019-07-23 12:32:21
云安全 云安全风险概览 企业上云后的安全风险概览
数据和各类服务向云端迁移不禁让很多企业开始重新思考自己的网络安全体系。企业上云后究竟会面临什么样的安全风险? <详情>