Cloudbleed

Cloudbleed est une faille de sécurité découverte le 17 février 2017 affectant les proxies inverses de Cloudflare. Cette faille amenait les serveurs périphériques de Cloudflare à lire après la fin d'une mémoire tampon et à diffuser des informations privées telles que des cookies HTTP, des jetons d'authentification, des HTTP POST bodies et d'autres données sensibles.

En conséquence de cette faille, les données de clients de Cloudflare ont été communiquées accidentellement à d'autres clients de Cloudflare qui se trouvaient dans la mémoire du serveur au moment du débordement du tampon. Certaines de ces données ont été mises en cache par les moteurs de recherche.

Découverte

La faille a été signalée par l'équipe du Project Zero de Google. Tavis Ormandy (en) a posté le problème sur le journal de son équipe et a déclaré qu'il avait informé Cloudflare du problème le 17 février 2017. Dans sa preuve de concept, il a obtenu qu'un serveur de Cloudflare lui « livre des messages privés provenant de sites de rencontres majeurs, des messages complets d'un service de messagerie bien connu, des données d'un gestionnaire de mots de passe en ligne, des images de sites vidéos pour adultes et des réservations d'hôtel. J'ai obtenu des demandes https complètes, des adresses IP clients, des réponses complètes, des cookies, des mots de passe, des clés de chiffrement, des données, tout. ».

Similitudes avec Heartbleed

Cloudbleed est similaire à la faille de sécurité Heartbleed de 2014. Les deux failles permettent à des tiers non autorisés d'accéder à des données dans la mémoire des programmes exécutés sur des serveurs web - des données qui auraient dû être protégées par la norme de sécurisation par chiffrement Transport Layer Security (TLS). Cloudbleed pourrait toucher autant d'utilisateurs que Heartbleed puisque la faille affectait un réseau de diffusion de contenu utilisé par près de 2 millions de sites web.

Reactions

Cloudflare

Le jeudi 23 février 2017, Cloudflare a publié un article de blogue mentionnant :

« Le bug était grave, car les informations révélées pouvaient contenir des informations privées et parce que certaines de ces informations avaient été mises en cache par les moteurs de recherche. Nous n'avons pas encore découvert de preuves d'exploits malveillants du bug ou d'autres rapports de son existence ... La plus grande période de vulnérabilité a été du 13 février au 18 février. Durant cette période, 1 requête sur 3300000 a pu entraîner des fuites de mémoire (soit environ 0,00003 % des demandes). »

Cloudflare a reconnu que des informations privées auraient pu être divulguées dès le 22 septembre 2016. La société a également indiqué que l'une de ses clés privées, utilisées pour le chiffrement machine à machine, a été divulguée.

John Graham-Cumming, le directeur de la technologie de Cloudflare, a noté que les clients de Cloudflare, tels que Uber et OkCupid, n'avaient pas été informés des fuites dues aux risques de sécurité impliqués dans la situation. « Il n'y a pas eu de communication en dehors de Cloudflare - uniquement avec Google et les autres moteurs de recherche", a-t-il déclaré.

Graham-Cumming a également déclaré que « malheureusement, c'était l'ancien logiciel qui contenait un problème de sécurité latent et que ce problème s'est manifesté lorsque nous étions en train de migrer vers un nouveau logiciel ». Il a ajouté que son équipe avait déjà commencé à tester son logiciel pour d'autres problèmes possibles.

L'équipe Project Zero de Google

Tavis Ormandy (en) de l'équipe Project Zero a écrit que Cloudflare initialement lui avait envoyé un brouillon d'article qui « minimisait considérablement le risque pour les clients ». Il a également exprimé sa déception que Cloudflare n'ait pas agi plus rapidement dans le processus de correction.

Uber

Uber a déclaré que l'impact sur son service avait été très limité. Un porte-parole d'Uber a ajouté « seulement quelques jetons de session ont été impliqués et ont depuis été changés. Les mots de passe n'ont pas été exposés ».

OkCupid

Le directeur général d'OkCupid, Elie Seidman, a déclaré : « CloudFlare nous a informés la nuit dernière de leur bug et nous avons examiné son impact sur nos membres. Notre enquête initiale a révélé une exposition minimale ou nulle. Si nous déterminons que certains de nos utilisateurs a été affectés, nous les informerons rapidement et nous prendrons des mesures pour les protéger. ».

Fitbit

Le représentant de Fitbit a déclaré que la société étudiait le problème et que les utilisateurs concernés peuvent changer leurs mots de passe.

Remédiation

De nombreux organismes de presse importants ont conseillé aux utilisateurs des sites utilisant Cloudflare de modifier leur mot de passe, même pour les comptes protégés par l'authentification à deux facteurs. Les mots de passe des applications mobiles ont également pu être récupérés.

Les chercheurs d'Arbor Networks, dans une alerte, ont suggéré que « pour la plupart d'entre nous, la seule réponse vraiment sûre à cette fuite d'information à grande échelle est de mettre à jour nos mots de passe pour les sites web et les applications que nous utilisons. ».

Toutefois, le chroniqueur de cybersécurité du magazine Inc., Joseph Steinberg (en), a conseillé aux gens de ne pas modifier leurs mots de passe, déclarant que « le risque actuel est beaucoup plus petit que le prix à payer d'une augmentation de la « fatigue de cybersécurité » qui pourrait entraîner des problèmes beaucoup plus importants ». En effet, des appels répétés à des changements de mots de passe augmentent la difficulté de mémoriser les mots de passe et, en conséquence, pourraient inciter les gens à utiliser des mots de passe faciles à mémoriser (donc moins sécuritaires) et à réutiliser les mêmes mots de passe sur plusieurs sites.

Références

(en) Cet article est partiellement ou en totalité issu de l’article de Wikipédia en anglais intitulé « Cloudbleed » (voir la liste des auteurs).