Cloudflare har rettet sårbarhet for datalekkasje mellom kunder i containere

Close-up of a hand typing on a computer keyboard — Alicia Christin Gerald / Unsplash

Cloudflare har rettet en sårbarhet i sin plattform for containere, som også gir støtte til Cloudflare Sandboxes, som kunne føre til datalekkasjer mellom ulike kunder.

Kunder med betalte kontoer for Workers kunne gjenopprette diskblokker etterlatt av andre kunders containere på samme vert. Sårbarheten lå ikke i grensene for de virtuelle maskinene, men i den underliggende allokatoren for lagring.

Problemet ble rapportert 4. september gjennom programmet for belønning av sårbarheter av en sikkerhetsforsker fra Accomplish. Hver container kjører i en Firecracker virtuell maskin med en skrivbar rotdisk konfigurert via en mekanisme for tynn provisjonering i Linux device mapper. En kombinasjon av en tynn blokkstørrelse på 64 KiB og alternativet skip_block_zeroing førte til at nye blokker ikke ble tømt før de ble eksponert.

Når det ble skrevet en enkelt blokk på 4 KiB til et ikke-mappet område, tildelte systemet en fysisk blokk på 64 KiB fra en ressurspool delt mellom kundekontoer. Siden kun 4 KiB ble overskrevet, kunne opptil 60 KiB med data fra tidligere containere bli liggende. Ved rålesing av disken kunne man dermed få ut bytes som den nye containeren aldri hadde skrevet.

Forskeren identifiserte 2700 ulike eksterne katalog-indeksnoder i seks produksjonsmiljøer, der alle 5614 testbare katalogblokker kom fra andre brukere. Data ble funnet på 20 underliggende noder fordelt på 24 utplasseringspunkter over fire kontinenter. De gjenopprettede dataene inkluderte databasessider, katalogstrukturer og komplette SQLite-databaser.

Cloudflare presiserte at en angriper ikke kunne velge offer, arbeidsbelastning eller vert, og heller ikke lese disker som var i bruk. Eksponeringen var avhengig av hvor arbeidsbelastningen ble plassert og hvilke frigjorte blokker som ble tildelt. Det ble ikke demonstrert noen mulighet for å endre andre kunders data eller påvirke tilgjengeligheten.

Selskapet reagerte raskt og implementerte en rettelse for kjøretid og ressurspooler samme dag som rapporten kom. Full utrulling av rettelsen var ferdig 7. september. For å fjerne gjenværende data i eksisterende disker og bildecache, deaktiverte Cloudflare alle kjørende containerdisker, tømte vertsdata i perioder med lav trafikk og startet virtuelle maskiner på nytt. Dette arbeidet ble fullført 19. september.

Cloudflare har ikke funnet bevis for at sårbarheten ble utnyttet av ondsinnede aktører. Analyse av historiske telemetridata for disk-inn- og utdata viste at kun aktiviteten til forskeren og selskapets egne ingeniører samsvarte med mønsteret for sårbarheten. En belønning ble utbetalt 14. september.