Cloudflare behebt Sicherheitslücke bei Container-Plattform

brown concrete building under white clouds during daytime — Alexandre Viard / Unsplash

Cloudflare hat eine Sicherheitslücke in seiner Container-Plattform geschlossen, die eine Datenexposition zwischen verschiedenen Mandanten ermöglichte. Betroffen waren Kunden mit kostenpflichtigen Konten für Workers, die in der Lage waren, Diskblöcke von anderen Kunden auf demselben Host wiederherzustellen. Die Plattform dient zudem als Basis für Cloudflare Sandboxes.

Die Schwachstelle lag nicht an den Grenzen der virtuellen Maschinen, sondern im zugrunde liegenden Speicherzuweisungsmechanismus. Jeder Container läuft in einer Firecracker-virtuellen Maschine mit einer beschreibbaren Root-Disk, die über den Linux-Device-Mapper konfiguriert ist. Durch die Verwendung einer Thin-Provisioning-Größe von 64 KiB in Kombination mit der Option skip_block_zeroing wurden neu zugewiesene Blöcke nicht geleert, bevor sie exponiert wurden.

Dies führte dazu, dass beim Schreiben eines 4 KiB-Blocks ein 64 KiB-physischer Block aus einem gemeinsamen Ressourcenpool zugewiesen wurde. Da nur 4 KiB überschrieben wurden, konnten in den verbleibenden 60 KiB Daten früherer Container verbleiben. Ein Sicherheitsforscher von Accomplish konnte so in sechs Produktionsumgebungen alle 5614 testbaren Verzeichnisblöcke von anderen Nutzern identifizieren, wobei 2700 verschiedene externe Verzeichnis-Indizes gefunden wurden. In 24 Bereitstellungspunkten über vier Kontinente hinweg wurden in 18 Fällen Datenreste gefunden, darunter Verzeichnisstrukturen, Datenbankseiten und vollständige SQLite-Datenbanken.

Cloudflare stellte fest, dass Angreifer weder Opfer, Workloads noch Hosts auswählen konnten und keine Garantie auf die Existenz von Datenresten bestand. Es gibt keine Beweise dafür, dass die Lücke böswillig ausgenutzt wurde. Die Analyse von historischen Disk-I/O-Telemetriedaten ergab, dass nur Aktivitäten des Forschers und von Cloudflare-Ingenieuren dem Muster entsprachen.

Nachdem die Lücke am 4. September gemeldet wurde, implementierte Cloudflare am selben Tag erste Fixes und schloss die Bereitstellung am 7. September ab. Da das Entfernen der Option skip_block_zeroing bestehende Zuweisungen nicht bereinigte, wurden alle laufenden Container-Disks deaktiviert, Host-Daten in Nebenzeiten geleert, virtuelle Maschinen neu gestartet und Image-Caches geleert. Diese Reinigungsarbeiten wurden am 19. September abgeschlossen. Die Auszahlung der Prämie erfolgte am 14. September.