Lỗ hổng nghiêm trọng rò rỉ thông tin của hàng triệu website sử dụng CloudFlare

Một lỗ hổng nghiêm trọng mới được phát hiện trong dịch vụ CloudFlare khiến hàng loạt website rò rỉ khóa riêng tư và các thông tin nhạy cảm khác.

CloudFlare là một nhà cung cấp mạng truyền tải nội dung (CDN) và đảm bảo an toàn  cho hơn 5.5 triệu website trên Internet. Mới đây CloudFlare đã cảnh báo người dùng về một lỗ hổng nghiêm trọng có thể dẫn tới rò rỉ hàng loạt dữ liệu nhạy cảm, bao gồm mật khẩu, cookie và token sử dụng để xác thực người dùng.

Lỗ hổng mới có tên Cloudbleed gần giống với lỗ hổng Heardbleed được phát hiện vào năm 2014 nhưng có mức độ nguy hiểm cao hơn. Lỗ hổng không chỉ ảnh hưởng tới website trong mạng CloudFlare mà còn cả trên ứng dụng di động.

Cloudbleed là gì ?

Được phát hiện bởi nhà nghiên cứu Tavis Ormandy thuộc nhóm bảo mật Google Project Zero hơn một tuần trước, Cloudbleed là một lỗ hổng nghiêm trong trong mạng Cloudflare khiến rò rỉ khóa riêng tư, các thông tin nhạy cảm của website sử dụng Cloudflare.

Cloudflare đóng vai trò như một proxy giữa người dùng và máy chủ web, làm bộ đệm cho các website trong mạng,  giúp tăng tốc và đảm bảo an toàn cho các website. Ormandy đã phát hiện một lỗ hổng tràn bộ đệm tại một máy chủ Cloudflare, trả về kết quả bộ nhớ chứa thông tin riêng tư như HTTP cookie, token xác thực, HTTP POST và một số dữ liệu khác.

CloudFlare đã xử lý lỗ hổng nhưng không hề thông báo tới người dùng, do đó Ormandy đã công bố phát hiện của mình theo đúng chính sách của Project Zero. CloudFlare xác nhận lỗ hổng và đảm bảo rằng khóa riêng tư SSL của người dùng không hề bị rò rỉ. Ngoài ra CloudFlare còn cho biết từ ngày 13/2 đến 18/2 chỉ có 1 trong 3,300,000 HTTP request có nguy cơ bị rò rỉ bộ nhớ, chiếm 0.00003%.

Cloudbleed ảnh hưởng trên cả ứng dụng di động

Trong một phân tích thực hiện bởi NowSecure, hơn 200 ứng dụng iOS được phát hiện sử dụng dịch vụ của CloudFlare trong hơn 3,500 ứng dụng phổ biến được lấy mẫu. Một số khách hàng lớn của CloudFlare bị ảnh hưởng bao gồm Uber, 1Password, FitBit, và OKCupid

Danh sách các webiste có nguy cơ bị ảnh hưởng được đăng tải bởi người dùng trên GitHub bao gồm CoinBase, 4Chan, BitPay, DigitalOcean, Medium, ProductHunt, Transferwise, The Pirate Bay, Extra Torrent, BitDefender, Pastebin, Zoho, Feedly, Ashley Madison, Bleeping Computer, The Register, …

Người dùng được khuyến cáo thiết đặt lai toàn bộ mật khẩu trong trường hợp bạn dùng chung mật khẩu trên nhiều website.

THN