Cloudflare漏洞与数据泄露事件
在本期SearchSecurity的《Risk & Repeat》播客中，编辑团队讨论了近期Cloudflare因漏洞导致客户数据长期泄露的事件。该漏洞由谷歌Project Zero团队的研究员Tavis Ormandy发现并报告，涉及Cloudflare边缘服务器的HTML解析器兼容性问题。
漏洞技术细节
- 根源：新旧HTML解析器版本（2016年9月部署）的兼容性问题触发了内存泄漏。
- 泄露内容：包括客户密码、Cookies和身份令牌等敏感数据。
- 时间窗口：2016年9月22日至2017年2月17日期间传输的数据均可能受影响。
响应与修复措施
- Cloudflare迅速禁用三个与HTML解析器相关的次要功能。
- 联合搜索引擎公司清除缓存中的泄露数据。
- 遗留风险：即使未使用相关功能的企业仍可能受影响，且第三方爬虫可能已抓取泄露数据。
企业应对挑战
- 范围评估困难：实际泄露数据比例虽小，但浏览器缓存和第三方爬虫导致扩散风险难以量化。
- 响应策略争议：播客中探讨了企业应如何权衡修复成本与潜在风险。
关键结论：该事件凸显了云服务供应链中隐蔽漏洞的连锁反应，以及事件响应中数据追溯的复杂性。