谷歌发现大BUG！科技公司CloudFlare泄露用户信息长达数月

[[184224]]

日前，一名谷歌研究人员发现了一起令人担忧的网站信息泄漏事件，涉及大量密码、私人通信和敏感数据，受损的不乏Uber、FitBit和OKCupid等大型科技公司，这可能是2017年开年以来最严重的一起泄漏事件。

由于出现漏洞的是颇受欢迎的科技公司CloudFlare，许多人戏称这一事件为“CloudBleed”。这起因代码问题引起的危机和臭名昭著的2015年Heartbleed漏洞并无二致，后一起事件涉及200多万个网站，任何人都能读取系统的运行内存。

要命的是，搜索引擎居然在缓存这些泄漏信息。此外，CloudFlare往往通过同一台服务器来管理不同站点的内容，因此，当恶意人士请求获取一个网站的信息时，其他网站的信息也会被泄露。

“比方说，你浏览的是Uber的页面，但收到了okcupid.com的信息。”Pen Test Partners的白帽黑客Andrew Tierney说道，“任何人都可以获取这些敏感数据，甚至无需主动攻击。我妈妈可能仅仅因为登上了CloudFlare的网站而收到别人浏览器缓存中的登录密码。”

著名的谷歌bug猎手Tavis Ormandy首先发现了这个问题，并在2月17日通报给了CloudFlare。在其模拟攻击中，他收到了服务器“送来”的加密密钥、密码，甚至其他用户的HTTPS请求。

在之后的一篇博文中，Tavis发现，这个问题变得越发严重。“我发现主流相亲网站上的私人信件、在线密码管理者数据、成人网站的框架、酒店预订信息等等，所有的HTTPS请求、客户IP地址、全部的回复、数据包、密码、密钥、数据都被泄漏了。”

Ormandy说，CloudFlare后来给他发来了一封信，把“这一漏洞给用户带来的风险说得轻描淡写”。不过，对于该公司在本周四发表的最终公告，Ormandy并未作更多评价。在这份公告中，CloudFlare表示：“这一漏洞非常严重，因为我们知道所泄漏的内容包括私人信息，这些信息甚至被搜索引擎缓存了下来。与此同时，我们并未发现任何恶意钻这一漏洞的人士，也没有更多有关该漏洞的汇报。”

“该漏洞的关键影响期在2月13日至2月18日，在每330万个HTTP请求中，会有1个请求遇到信息泄漏的状况(也就是说泄漏发生的概率为0.00003%)。”该公司承认，最早的数据泄漏可能出现在2016年9月22日。

目前，众多CloudFlare上的网站内容已经上传到了GitHub，不过我们并不清楚哪些网站的信息遭到了泄露。上传GitHub列表的人士表示，建议所有使用CloudFlare服务的公司的用户更改密码，以防万一。