Uber, Fitbit, Ok Cupid, 1Password और अग्रणी कंपनियों का उपयोगकर्ता डेटा एक महत्वपूर्ण CloudFlare भेद्यता के कारण हफ्तों तक जोखिम में था। 'Cloudbleed बग' सर्वरों के बफर से आगे चलने और निजी जानकारी वाली मेमोरी वापस करने के कारण हुआ था। 2014 में रिपोर्ट किए गए हार्टब्लीड बग में भी ऐसा ही कुछ देखा गया था। भेद्यता की सूचना Google सुरक्षा शोधकर्ता Tavis Ormandy ने दी थी। CloudFlare के CTO Graham-Cumming ने कहा कि यह बताना मुश्किल है कि 6 मिलियन वेबसाइटों में से कौन सी प्रभावित हुई हैं। कई सुरक्षा विशेषज्ञों का मानना है कि Cloudbleed का प्रभाव CloudFlare के दावे से कहीं अधिक है।
Cloudflare भेद्यता के परिणाम
CloudFlare की कई सेवाएं HTML को पार्स करने और इसे तुरंत संशोधित करने पर निर्भर करती हैं। Cloudflare ragel में लिखे गए पार्सर का उपयोग कर रहा था और पिछले साल अपना खुद का पार्सर लिखने का फैसला किया। दोनों ragel और नए पार्सर को nginx मॉड्यूल के रूप में तैनात किया गया था। जबकि भेद्यता का कारण बनने वाला बग ragel पार्सर में हमेशा मौजूद था, जब नया पार्सर पेश किया गया तो पार्सर सर्वर के साथ कैसे इंटरैक्ट करते हैं, यह बदल गया। इससे मेमोरी ओवरफ्लो हुआ और इसलिए भेद्यता सामने आई। कारण का गहन विश्लेषण यहां पाया जा सकता है। Cloudbleed के प्रत्यक्ष परिणाम हैं:
- खोज इंजनों ने बहुत सारे लीक डेटा को कैश किया और उन्हें खोज परिणामों पर प्रदर्शित कर रहे हैं
- सोशल/डेटिंग वेबसाइटों पर व्यक्तिगत चैट का रिसाव
- उपयोगकर्ता पहचान जानकारी का रिसाव
- कुकीज़/IP जानकारी
तत्काल एहतियाती कदम
- अपने पासवर्ड बदलें। FTP, cPanel, एडमिन पैनल से लेकर अन्य सभी तक।
- अपने उपयोगकर्ताओं को पासवर्ड बदलने के लिए मजबूर करें
- यदि संभव हो तो दो-कारक प्रमाणीकरण का उपयोग करें
- अपनी वेबसाइट का कैश साफ़ करें। पुराना कैश पर्ज करें।
उठाए गए प्रश्न
Mr. Troy Hunt, साइबर सुरक्षा इंजीलवादी ने अपने ब्लॉग में कहा:
इस भेद्यता के सामने आने के बाद से, CloudFlare का रुख बहुत दृढ़ और स्पष्ट रहा है। CloudFlare के CEO और CTO दोनों ने सार्वजनिक बयान दिए हैं और स्थिति का प्रभार लिया है। हालांकि, यह पूरा प्रकरण रिवर्स प्रॉक्सी समाधानों के बारे में सवाल उठाता है जो आपसे अपने वेब ट्रैफ़िक को उनके माध्यम से रूट करने की उम्मीद करते हैं। ऐसे समाधानों का सबसे बड़ा परिणाम यह है कि यदि सर्वर हैक हो जाता है, तो सभी वेबसाइटें डाउन हो जाती हैं। CloudFlare के साथ देखा गया, एक दोष से लाखों वेबसाइटें जोखिम में आ गईं।
हमने इस विषय पर अपने इनपुट लेने के लिए Rafay Baloch, एक प्रसिद्ध सुरक्षा शोधकर्ता और लेखक के साथ बातचीत की। Rafay का कहना था:
Rafay द्वारा वास्तव में एक दिलचस्प बिंदु। सुरक्षा कंपनियों को सुरक्षा शोधकर्ताओं की शक्ति और दुनिया के सर्वश्रेष्ठ WAFs को बायपास करने की उनकी क्षमता को नजरअंदाज नहीं करना चाहिए। हम जल्द ही इस विषय पर और लिखेंगे कि एक पूर्ण सुरक्षा समाधान में 'जिम्मेदार प्रकटीकरण' घटक कैसे होना चाहिए।
Astra का निर्माण करते समय, हमने रिवर्स प्रॉक्सी कार्यान्वयन का उपयोग नहीं करने का एक प्रमुख कारण यह था कि ऐसी स्थिति से बचा जाए जहां हमारे बुनियादी ढांचे में एक भेद्यता के कारण हमारे सभी उपयोगकर्ता जोखिम में पड़ जाएं।
