هفته ی گذشته، Tavis Ormandy محقق ( Zero Project ) گوگل گزارشی را حول موضوع آسیب پذیری Cloudflare، یکی از مهم‌ترین شرکت‌های ارائه‌‌دهنده خدمات CDN، منتشر کرد. در این آسیب پذیری اطلاعات خصوصی از کلیدهای رمزنگاری گرفته تا پیام های خصوصی متعلق به کاربران فاش شده است.
Mike Mimoso در وب سایت امنیتی Threatpost در رابطه با وبسایت های آلوده شده گفت :
"اکنون ما در حال بررسی موضوع آلودگی Cloudflare هستیم. از کسانی که بتوانند به تیم ما برای جمع آوری اطلاعات بیشتر کمک کنند؛ خواهشمندیم دانستنی های خود را با [email protected] در میان بگذارند. همچنین کاربرانی که از این موضوع نگران هستند می توانند رمز عبور حساب خود را تغییر دهند و به دنبال رمز عبوری جدید و قوی برای حساب های کاربری خود باشند. همچنان توصیه می کنیم از استفاده ی رمز عبورهای تکراری برای ایمل و هر حساب دیگر خود بپرهیزند، این عمل به آسیب پذیر بودن حساب کاربری شما کمک بزرگی می کند".
مطمئنا آسیب‌پذیری HeartBleed را به یاد دارید که در آن مجرم می‌توانست با تکرار درخواست بخشی از حافظه را که شامل کلید خصوصی بود، بازیابی کند. در مورد CloudFlare هم، یک پروکسی معکوس وجود دارد که بین همه مشتریان به اشتراک گذاشته می‌شود، این پروکسی وظیفه دارد درخواست‌های کاربران را دریافت کرده و صفحه مشتری موردنظر را بارگذاری کند.
در واقع صفحات دریافت‌شده حاوی اطلاعاتی از کوکی‌ها، کلیدهای خصوصی، گذرواژه‌ها و حتی درخواست‌های HTTPS از سایر مشتریان CloudFlare می باشند.
اطلاعات مهمی در این صفحات جابه‌جا می‌شود و کاربران متوجه نمی شوند که چه اطلاعاتی با هر درخواست جابه‌جا می‌شود و به همین دلیل تاکنون این آسیب‌پذیری اثر جدی نداشته است.
تیم امنیتی CloudFlare با دریافت گزارش این آسیب‌پذیری به سرعت خدمات آسیب‌پذیر را قطع و در حال بررسی مشکل است.
به گفته ی Robert Hansen و پستی که در OutsideIntel منتشر ساخته است : این آسیب پذیری بیش از 5 میلیون سایت را از جمله سایت های محبوبی مثل FitBit و OkCupid را تحت تاثیر قرار داده است. این باگ از 13 فوریه تا 18 فوریه فعال شده است.
اگر که از هر کدام از سایت هایی که در این وب سایت لیست شده است استفاده کرده اید بهتر است به منظور امنیت بیشتر رمز عبور خود را تغییر دهید. به طور کلی ماجرای Cloudflare همچنان ادامه دارد و تمام نشده است. برای اطلاع از آخرین اخبار، وبلاگ کسپرسکی آنلاین را دنبال کنید.
