کمیته رکن چهارم – گزارش کارشناسان امنیت سایبری نشان می‌دهد که سرویس Cloudflare دچار نقص امنیتی شده است.
به دلیل وجود نقص امنیتی در مکانیزم کنترلcross-tenant سرویس Cloudflare مهاجم قادر خواهد بود تا به راحتی این امکان را دور زده و از این طریق حملات خود را انجام دهد. مکانیزم امنیتی مذکور جهت جلوگیری از رخداد حملات DDOS طراحی شده است. این آسیب‌پذیری به دلیل وجود نقص در طراحی مکانیزم اعتبارسنجی ارسال درخواست های HTTPS به سمت سرور میباشد و در آن دو ویژگی زیر فعال است:
- Authenticated Origin Pulls
- Allowlist Cloudflare IP Addresses
با فعال بودن این دو ویژگی در سرور، دریافت‌کننده درخواست HTTPS، مطمئن خواهد شد که این درخواست از سمت سرورهای Cloudflare ارسال شده است نه از طرف یک مهاجم و اعتبارنامه SSL/TLS جهت صحت سنجی آن بررسی نخواهد شد. در واقع این دو مکانیسم با تخصیص وضعیت «Trusted» به درخواست‌های HTTPS که از سمت سرور Cloudflare ارسال می‌شوند، از سرور مبدأ در برابر ترافیک مخرب محافظت می‌کنند. مهاجم می‌تواند در فایروال Cloudflare یک دامنه سفارشی (Custom Domain) راه‌اندازی کرده و رکورد DNS A را به آدرس IP قربانیان point کند، سپس مهاجم تمام ویژگی‌های حفاظتی دامنه سفارشی را غیرفعال و حمله خود را آغاز خواهد کرد. مهاجم در این مرحله قادر خواهد بود یک گواهی صحت‌سنجی ساخته و از آن، جهت اعتباربخشی به درخواست‌های ارسالی خود به سمت سرور هدف سوءاستفاده کند.
محصولات تحت تأثیر
تمام سرورهایی که از سرویس Cloudflare استفاده می‌کنند و دو ویژگی Authenticated Origin Pulls و Allowlist Cloudflare IP Addresses در آن‌ها فعال است.
توصیه‌های امنیتی
کمپانی Cloudflare هنوز به طور رسمی برای برطرف این نقص امنیتی، به‌روزرسانی جدیدی منتشرنکرده است اما تحلیلگران امنیتی تا زمان انتشار رسمی به‌روزرسانی، دو راهکار جهت کاهش تهدیدات این نقص امنیتی ارائه داده‌اند: تخصیص اعتبارنامه‌های شخصی‌سازی شده با استفاده از Authenticated Origin Pulls و حذف اعتبارنامه‌های Cloudflare که منجر به درخواست‌های غیرمجاز خواهند شد. شایان ذکر است که مکانیزم Allowlist Cloudflare IP Addresses به عنوان گزینه‌ای جهت حفاظت از سرور در نظر گرفته نشود و تنها به عنوان یکی از روش‌های محافظت از سرور در لایه‌های پایین امنیت مورد استفاده قرار گیرد.
منبع: افتانا
