|
|
|
|
移动端

谷歌发现大BUG!科技公司CloudFlare泄露用户信息长达数月

一名谷歌研究人员发现了一起令人担忧的网站信息泄漏事件,涉及大量密码、私人通信和敏感数据,受损的不乏Uber、FitBit和OKCupid等大型科技公司,这可能是2017年开年以来最严重的一起泄漏事件。

作者:佚名来源:猎云网|2017-02-27 10:01

【新品产上线啦】51CTO播客,随时随地,碎片化学习

日前,一名谷歌研究人员发现了一起令人担忧的网站信息泄漏事件,涉及大量密码、私人通信和敏感数据,受损的不乏Uber、FitBit和OKCupid等大型科技公司,这可能是2017年开年以来最严重的一起泄漏事件。

由于出现漏洞的是颇受欢迎的科技公司CloudFlare,许多人戏称这一事件为“CloudBleed”。这起因代码问题引起的危机和臭名昭著的2015年Heartbleed漏洞并无二致,后一起事件涉及200多万个网站,任何人都能读取系统的运行内存。

要命的是,搜索引擎居然在缓存这些泄漏信息。此外,CloudFlare往往通过同一台服务器来管理不同站点的内容,因此,当恶意人士请求获取一个网站的信息时,其他网站的信息也会被泄露。

“比方说,你浏览的是Uber的页面,但收到了okcupid.com的信息。”Pen Test Partners的白帽黑客Andrew Tierney说道,“任何人都可以获取这些敏感数据,甚至无需主动攻击。我妈妈可能仅仅因为登上了CloudFlare的网站而收到别人浏览器缓存中的登录密码。”

著名的谷歌bug猎手Tavis Ormandy首先发现了这个问题,并在2月17日通报给了CloudFlare。在其模拟攻击中,他收到了服务器“送来”的加密密钥、密码,甚至其他用户的HTTPS请求。

在之后的一篇博文中,Tavis发现,这个问题变得越发严重。“我发现主流相亲网站上的私人信件、在线密码管理者数据、成人网站的框架、酒店预订信息等等,所有的HTTPS请求、客户IP地址、全部的回复、数据包、密码、密钥、数据都被泄漏了。”

Ormandy说,CloudFlare后来给他发来了一封信,把“这一漏洞给用户带来的风险说得轻描淡写”。不过,对于该公司在本周四发表的最终公告,Ormandy并未作更多评价。在这份公告中,CloudFlare表示:“这一漏洞非常严重,因为我们知道所泄漏的内容包括私人信息,这些信息甚至被搜索引擎缓存了下来。与此同时,我们并未发现任何恶意钻这一漏洞的人士,也没有更多有关该漏洞的汇报。”

“该漏洞的关键影响期在2月13日至2月18日,在每330万个HTTP请求中,会有1个请求遇到信息泄漏的状况(也就是说泄漏发生的概率为0.00003%)。”该公司承认,最早的数据泄漏可能出现在2016年9月22日。

目前,众多CloudFlare上的网站内容已经上传到了GitHub,不过我们并不清楚哪些网站的信息遭到了泄露。上传GitHub列表的人士表示,建议所有使用CloudFlare服务的公司的用户更改密码,以防万一。

【编辑推荐】

  1. 恶意软件Carbanak利用谷歌来做命令控制服务器通道
  2. 澳大利亚粒子加速器门户被黑 多名科学家身份被泄露
  3. 入侵无需密码? 雅虎数据泄露调查新进展
  4. 2017RSA大会:谷歌董事长施密特分享自己的AI心得
  5. “谷歌攻破SHA-1”关我们什么事儿?
【责任编辑:武晓燕 TEL:(010)68476606】

点赞 0
分享:
大家都在看
猜你喜欢

读 书 +更多

计算机病毒防范艺术

本书由Symantec首席反病毒研究员执笔,是讲述现代病毒威胁、防御技术和分析工具的权威指南。与多数讲述计算机病毒的书籍不同,本书完全是...

订阅51CTO邮刊

点击这里查看样刊

订阅51CTO邮刊