Manche Fehler lassen sich in wenigen Stunden beheben, andere benötigen etwas mehr Zeit – und dann gibt es die, die jedem das Wochenende verderben. Cloudbleed gehört in diese letzte Kategorie. Dank einer gemeinsamen Anstrengung von Ingenieuren bei Google und den Leuten von Cloudflare wurden die negativen Auswirkungen der Schwachstelle zwar neutralisiert, aber das Problem ist, dass die vom CDN- und Sicherheitsanbieter unterstützten Websites über Monate hinweg private Daten durchsickern ließen – und niemand weiß, ob jemand mit bösen Absichten mitgehört hat …
Alles begann mit einem Tweet von Tavis Ormandy vom Project Zero bei Google an das Sicherheitsteam von Cloudflare: „Kontaktieren Sie mich dringend“. Das war am 17. Februar. Freitag. Innerhalb von Stunden stellte Cloudflare fest, dass seine Plattform unter einer der schwerwiegendsten Webschwachstellen der letzten Zeit litt, ähnlich wie Heartbleed. Das Unternehmen brauchte weniger als eine Stunde (44 Minuten, um genau zu sein) für die ersten Gegenmaßnahmen, was an sich bemerkenswert ist. Auch mit dem Wochenende vor der Tür koordinierte Cloudflare Teams in San Francisco und London, um das Problem zu reproduzieren, die Ursache zu finden und den Bug schließlich zu beheben. Die Erklärung an die Öffentlichkeit dauerte etwas länger.
Was ist Cloudbleed?
In einfachen Worten war Cloudbleed ein Pufferüberlauf. Cloudflare hatte sich entschieden, einen neuen HTML-Parser namens cf-html zu verwenden, um den bisherigen Ragel-basierten Parser zu ersetzen. Bei der Anpassung von cf-html und Ragel an die Plattform wurde ein Bug eingeführt (der nicht in den Parsern liegt, sondern in der Implementierung von Cloudflare), durch den die verarbeiteten Informationen auch nach dem Füllen des Puffers woanders hingeschrieben wurden. Und genau das ist der entscheidende Punkt: „woanders“. Die durchgesickerten Daten wirken aus dem Zusammenhang gerissen, Müll sozusagen. Doch Ormandys Analyse enthüllte beunruhigende Elemente: Passwörter, Cookies, Verschlüsselungsschlüssel, HTTPS-Anfragen, private Nachrichten und Hotelbuchungen. Die Bombe schlägt mit dem Detail ein, dass Google und andere Suchmaschinen diese Informationen in ihren Cache-Systemen aufgesogen haben … und dass die erste Leckage aus September des vergangenen Jahres stammt.
Wie betrifft dich das?
Wenn du eine Website oder einen Dienst nutzt, die von Cloudflare geschützt werden, ist es ratsam, dein Passwort zu ändern. Die verfügbaren Daten deuten auf mehr als vier Millionen potenziell betroffene Websites hin, und auf der Liste finden sich Namen wie Patreon, Yelp, OKCupid, BitPay, Uber, 1Password, Zendesk, Medium, Bitdefender, Pastebin, FitBit, Change.org, Feedly, Adafruit … es ist unmöglich, alle aufzuzählen. Die vollständige Liste findest du hier, oder alternativ wird empfohlen, CloudBleedCheck zu verwenden, um betroffene Domains zu überprüfen. Technisch gesehen sind bereits zehn Tage seit Cloudbleed vergangen, aber es sind noch Caches zu löschen.
