Cloudflare Perbaiki Celah Kebocoran Data Antar Penyewa pada Platform Kontainer

panoramic photography of tall concrete buildings — Pang Yuhao / Unsplash

Cloudflare telah memperbaiki kerentanan kebocoran data antar penyewa yang ditemukan dalam platform Containers, yang juga mendukung Cloudflare Sandboxes. Masalah ini memungkinkan pelanggan dengan akun Workers berbayar untuk memulihkan blok cakram yang ditinggalkan oleh kontainer pelanggan lain pada inang yang sama.

Kerentanan ini dilaporkan oleh peneliti keamanan dari Accomplish, Oren Yomtov, pada 4 September melalui program imbalan bug Cloudflare. Cloudflare menyatakan bahwa tidak ditemukan bukti bahwa celah ini telah dimanfaatkan secara jahat.

Masalah tersebut tidak terjadi pada batas mesin virtual, melainkan berasal dari pengalokasi penyimpanan yang mendasarinya. Setiap kontainer berjalan dalam mesin virtual Firecracker dengan cakram akar yang dapat ditulis, yang dikonfigurasi menggunakan mekanisme konfigurasi tipis dari pemeta perangkat Linux. Kolam sumber daya yang terdampak menggunakan ukuran blok tipis 64 KiB dan dikonfigurasi dengan opsi skip_block_zeroing, yang menginstruksikan sistem untuk tidak mengosongkan blok sebelum mengekspos blok yang baru dialokasikan.

Kombinasi ini menyebabkan celah keamanan di mana penulisan satu blok 4 KiB ke area yang tidak dipetakan akan memicu pengalokasian blok fisik 64 KiB dari kolam sumber daya bersama. Karena operasi penulisan hanya menutupi 4 KiB, sisa ruang hingga 60 KiB dapat tetap menyimpan konten dari kontainer sebelumnya. Pembacaan mentah pada cakram kemudian dapat mengembalikan byte yang tidak pernah ditulis oleh kontainer baru.

Dalam pengujian di enam penerapan lingkungan produksi, peneliti menemukan bahwa semua 5614 blok direktori yang dapat diuji berasal dari pengguna lain, dengan 2700 indeks node direktori eksternal yang berbeda teridentifikasi. Data yang berhasil dipulihkan mencakup struktur direktori, halaman basis data, dan basis data SQLite yang utuh. Temuan ini tersebar di 24 titik penerapan di empat benua dan 22 node dasar.

Cloudflare menjelaskan beberapa batasan dari celah ini, yaitu penyerang tidak dapat memilih korban, beban kerja, atau inang, serta tidak dapat membaca cakram yang sedang terhubung. Paparan data bergantung pada lokasi penerapan beban kerja dan blok mana yang dialokasikan kembali oleh sistem. Peneliti tidak mendemonstrasikan manipulasi data pelanggan lain atau dampak terhadap ketersediaan.

Respons Cloudflare dimulai pada 4 September dengan pembuatan tiket kejadian pada pukul 18:45 UTC, penggabungan perbaikan runtime pada pukul 21:27, dan penggabungan perubahan untuk kolam sumber daya pada pukul 22:03. Penerapan bertahap dimulai pada pukul 23:15 dan selesai sepenuhnya pada 7 September. Untuk membersihkan sisa data, Cloudflare menonaktifkan semua cakram kontainer yang berjalan, mengosongkan data inang selama jam tidak sibuk, memulai ulang mesin virtual, dan mengosongkan cache citra pada setiap inang. Proses pembersihan ini selesai pada 19 September.

Cloudflare menggunakan tanda deteksi berdasarkan pola penulisan skala kecil diikuti pembacaan skala besar pada data telemetri I/O cakram historis. Analisis menunjukkan bahwa hanya peneliti dan insinyur internal yang melakukan verifikasi resmi yang menunjukkan aktivitas tersebut. Imbalan bug diberikan pada 14 September setelah peneliti mengonfirmasi bahwa bukti konsep mereka tidak lagi berfungsi.