Cloudflare'de Containers açığı: Önceki iş yüklerinin disk verisi sızabiliyordu

Cloudflare, Containers hizmetinde kiracılar arası veri ifşasına yol açabilen bir güvenlik açığını kapattı. Açığı, Accomplish'te görevli dış güvenlik araştırmacıları tespit edip şirkete bildirdi. Cloudflare de 24 Eylül'de yayımladığı yazıda sorunu nasıl incelediğini ve hangi adımlarla giderdiğini anlattı.

Açığın kaynağı diskte kalan veriler

Sorunun kökeni, disk alanlarının iş yükleri arasında yeniden kullanılmasında yatıyordu. Containers altyapısında yeni bir iş yüküne ayrılan disk, önceki bir iş yükünün verilerini tamamen temizlenmemiş biçimde içerebiliyordu. Bu kalıntılar, aynı altyapıyı paylaşan başka bir müşterinin iş yükünden erişilebilir hale gelebiliyordu. Kalıntının ne içerdiği, önceki iş yükünün diske ne yazdığına bağlıydı; bu da hassas verilerin müşteriler arasında sızması ihtimalini doğuruyordu. Cloudflare'ın yayımladığı incelemede açığın nasıl çalıştığı, bildirimden sonraki araştırma süreci ve uygulanan düzeltmeler adım adım anlatılıyor.

Çok kiracılı mimarinin bilinen riski

Containers, geliştiricilerin konteyner görüntülerini Cloudflare'ın küresel ağı üzerinde sunucu yönetimiyle uğraşmadan çalıştırabildiği, Workers ekosistemine bağlı bir hizmet. Platform çok kiracılı bir mimariye dayanıyor; farklı müşterilerin iş yükleri aynı donanım kaynaklarını paylaşıyor. Bu model maliyet ve ölçek avantajı sağlarken, kaynakların müşteriler arasında güvenli biçimde devredilmesini kritik bir gereklilik haline getiriyor. "Kiracılar arası" olarak nitelenen açık, tam olarak bu paylaşımlı kaynak döngüsünün bir halkasında ortaya çıktı.

Disk kalıntıları kaynaklı sızıntılar bulut sektörü için yeni bir sorun değil. Ortak altyapılarda depolama alanları yeniden atanırken önceki kullanıcıların izlerinin kalabildiği, geçmiş araştırma ve vakalarla defalarca gösterildi. Bu tür açıkların tehlikeli yanı, saldırganın klasik bir yazılım hatasını sömürmesine gerek kalmaması: veri, sistem kaynaklarının doğal döngüsü içinde temizlenmeyi bekleyen biçimde duruyor. Bu nedenle sağlayıcıların disk temizleme ve kaynak tahsis mekanizmalarını düzenli olarak test etmesi gerekiyor.

Cloudflare, bildirimin ardından açığı inceledi ve giderdi; teknik ayrıntıları da bu sürecin tamamlanmasından sonra kamuya açıkladı. Şirket, güvenlik araştırmacılarından gelen bildirimleri ödüllendirdiği bir program da yürütüyor. Accomplish araştırmacılarının Containers'ta ortaya çıkardığı açık, dış denetimin paylaşımlı altyapılardaki değerini bir kez daha gösterdi.