Alcuni bug possono essere corretti in poche ore, altri richiedono un po' più di tempo, e poi ci sono quelli che rovinano il fine settimana a chiunque. Cloudbleed rientra in quest'ultima categoria. Grazie a uno sforzo combinato tra gli ingegneri di Google e le persone di Cloudflare, gli effetti negativi della vulnerabilità sono già stati neutralizzati, ma il problema è che i siti supportati dal fornitore di CDN e sicurezza hanno filtrato dati privati per mesi, e non si sa se qualcuno con cattive intenzioni stava ascoltando...
L'inizio del problema
Tutto è iniziato con un tweet inviato da Tavis Ormandy del Project Zero di Google al team di sicurezza di Cloudflare: «Contattatemi urgentemente». Era il 17 febbraio scorso. Venerdì. In poche ore, Cloudflare ha determinato che la sua piattaforma soffriva di una delle vulnerabilità web più serie degli ultimi tempi, con caratteristiche simili a quelle di Heartbleed. All'azienda ci sono voluti meno di un'ora (44 minuti per l'esattezza) per implementare il suo piano di mitigazione iniziale, il che, da un certo punto di vista, è un ottimo segno. Nonostante il fine settimana imminente, Cloudflare ha coordinato team a San Francisco e Londra per riprodurre il problema, individuare la causa e poi schiacciare il bug. La sua spiegazione al pubblico... ha richiesto un po' più di tempo.
Il difetto tecnico
In termini semplici, Cloudbleed è stato un buffer overflow. Cloudflare ha deciso di utilizzare un nuovo analizzatore sintattico (parser) HTML, cf-html, come sostituto del suo parser basato su Ragel. Nell'adattare il codice di cf-html e Ragel alla sua piattaforma, è stato introdotto un bug (che «non» sta nei parser, ma nell'implementazione di Cloudflare) attraverso il quale l'informazione elaborata veniva scritta altrove anche dopo aver riempito il buffer. E la chiave qui è «altrove». L'informazione filtrata sembra fuori contesto, spazzatura se si vuole. Tuttavia, l'analisi di Ormandy ha rilevato elementi molto inquietanti, da password e cookie a chiavi di cifratura, richieste HTTPS, messaggi privati e prenotazioni alberghiere. La bomba cade con il dettaglio che Google e altri motori di ricerca hanno assorbito queste informazioni nei loro sistemi di cache... e che la prima fuga risale a settembre dell'anno scorso.
Come proteggersi
Come influisce questo sull'utente? Se utilizzi un sito o servizio protetto da Cloudflare, la cosa consigliata è cambiare la password. I dati disponibili suggeriscono più di quattro milioni di siti potenzialmente colpiti, e nella lista troviamo nomi come Patreon, Yelp, OKCupid, BitPay, Uber, 1Password, Zendesk, Medium, Bitdefender, Pastebin, FitBit, Change.org, Feedly, Adafruit... è impossibile citarli tutti. La lista completa si trova insieme a un riepilogo qui, oppure in alternativa, si consiglia di utilizzare CloudBleedCheck per verificare i domini colpiti. Tecnicamente sono già passati dieci giorni da Cloudbleed, ma ci sono ancora cache da ripulire.
