---
title: Cloudflare устранила утечку данных между клиентами в платформе контейнеров
url: https://www.dataloco.com/ru/cloudflare-ustranila-utecku-dannyx-mezdu-klientami-v-platforme-konteinerov
published: 2026-10-21T06:31:29+00:00
language: ru
section: Безопасность
source: https://www.infoq.cn/article/YmllSwKbZXY0bcVjjw70?utm_source=rss&utm_medium=article
organizations: Cloudflare, Accomplish, Firecracker, Linux, Workers, Sandboxes
publisher: Dataloco
---

# Cloudflare устранила утечку данных между клиентами в платформе контейнеров

Компания Cloudflare исправила уязвимость в своей платформе контейнеров, которая позволяла платным пользователям сервиса Workers получать доступ к остаточным данным на дисках, ранее использовавшихся другими клиентами на том же физическом хосте. Инцидент затронул инфраструктуру, обеспечивающую работу сервисов Cloudflare Containers и Cloudflare Sandboxes.

Проблема не была связана с нарушением границ виртуальных машин Firecracker, в которых изолируются контейнеры. Причиной утечки стала конфигурация нижележащего распределителя хранения данных на основе механизма тонкого выделения ресурсов Linux device mapper. В пораженных пулах ресурсов использовался размер блока 64 кибибайта и была активирована опция skip_block_zeroing. Эта настройка предписывала системе не очищать содержимое новых блоков перед их выделением пользователю для повышения производительности.

Механизм уязвимости заключался в том, что запись данных объемом 4 кибибайта в неотображенную область приводила к выделению физического блока размером 64 кибибайта из общего пула. Поскольку очищался только записанный фрагмент, остальные 60 кибибайт могли содержать данные, оставшиеся от предыдущих арендаторов. Прямое чтение диска новым контейнером позволяло извлечь эти байты, которые никогда не записывались текущим пользователем.

Исследователи безопасности из компании Accomplish обнаружили проблему, используя контрольные суммы каталогов файловой системы ext4 для идентификации чужих данных. В ходе тестирования шести производственных развертываний специалисты проанализировали 5614 блоков каталогов и выяснили, что все они принадлежали другим пользователям. Было идентифицировано 2700 уникальных внешних индексных узлов. Остаточные данные, включая структуры каталогов, страницы баз данных и целостные базы данных SQLite, были найдены в 18 из 24 точек присутствия на четырех континентах.

Представители Cloudflare подчеркнули ограничения эксплойта: злоумышленник не мог выбирать конкретную жертву, рабочую нагрузку или хост, а также не имел гарантий наличия остаточных данных. Утечка зависела от того, куда система разместила рабочую нагрузку и какие именно освобожденные блоки были перераспределены механизмом dm-thin. Исследователи не продемонстрировали возможности изменения данных других клиентов или влияния на доступность сервисов.

Уязвимость была сообщена исследователем Ореном Йомтовым 4 сентября через программу вознаграждения за ошибки. Компания оперативно отреагировала: событие было зарегистрировано в тот же день, исправление для работающей среды внедрено вечером, а полное развертывание патча завершилось 7 сентября. Для устранения риска компания отключила все активные контейнерные диски, очистила кэши образов на хостах и перезапустила виртуальные машины. Полная очистка инфраструктуры была завершена 19 сентября.

Анализ телеметрии дискового ввода-вывода показал, что паттерн «малая запись с последующим большим чтением», характерный для данной атаки, фиксировался только в действиях исследователей и инженеров Cloudflare во время проверки. После внедрения исправлений концептуальное доказательство уязвимости перестало функционировать. Вознаграждение за обнаружение проблемы было выплачено 14 сентября.

Инцидент вызвал обсуждение в профессиональном сообществе относительно надежности механизмов изоляции в облачных средах. Эксперты отметили, что гарантии изоляции часто декларируются на архитектурном уровне, но не проверяются на уровне хранения данных. Специалисты призвали команды, использующие общую инфраструктуру, явно проверять процедуру обнуления освобождаемых блоков, а не полагаться исключительно на сетевое разделение или границы виртуальных машин.

## This story in other languages

- [Deutsch](https://www.dataloco.com/de/cloudflare-behebt-sicherheitslucke-bei-container-plattform)
- [Português (Brasil)](https://www.dataloco.com/pt-br/cloudflare-corrige-vazamento-de-dados-entre-locatarios-em-sua-plataforma-de-conteineres)
- [Français](https://www.dataloco.com/fr/cloudflare-corrige-une-fuite-de-donnees-entre-locataires-dans-sa-plateforme-de-conteneurs)
- [Norsk](https://www.dataloco.com/no/cloudflare-har-rettet-sarbarhet-for-datalekkasje-mellom-kunder-i-containere)
- [English](https://www.dataloco.com/en/cloudflare-resolves-cross-tenant-data-exposure-in-container-platform)
- [Indonesia](https://www.dataloco.com/id/cloudflare-perbaiki-celah-kebocoran-data-antar-penyewa-pada-platform-kontainer)