نقص امنیتی در سرویس Cloudflare

به دلیل وجود نقص امنیتی در مکانیزم کنترلcross-tenant  سرویس Cloudflare مهاجم قادر خواهد بود تا به راحتی این امکان را دور زده و از این طریق حملات خود را انجام دهد. مکانیزم امنیتی مذکور جهت جلوگیری از رخداد حملات DDOS طراحی شده است. این آسیب‌پذیری به دلیل وجود نقص در طراحی مکانیزم اعتبارسنجی ارسال درخواست های HTTPS به سمت سرور می‎باشد و در آن دو ویژگی زیر فعال است:

•    Authenticated Origin Pulls
•    Allowlist Cloudflare IP Addresses

با فعال بودن این دو ویژگی در سرور، دریافت‌کننده درخواست HTTPS، مطمئن خواهد شد که این درخواست از سمت سرورهای Cloudflare ارسال شده است نه از طرف یک مهاجم و اعتبارنامه SSL/TLS  جهت صحت سنجی آن بررسی نخواهد شد. در واقع این دو مکانیسم با تخصیص وضعیت «Trusted»  به درخواست‌های HTTPS که از سمت سرور Cloudflare ارسال می‌شوند، از سرور مبدأ در برابر ترافیک مخرب محافظت می‌کنند. مهاجم می‌تواند در فایروال Cloudflare یک دامنه سفارشی (Custom   Domain) راه‌اندازی کرده و رکورد DNS A را به آدرس IP قربانیان point کند، سپس مهاجم تمام ویژگی‌های حفاظتی دامنه سفارشی را غیرفعال و حمله خود را آغاز خواهد کرد. مهاجم در این مرحله قادر خواهد بود یک گواهی صحت‌سنجی ساخته و از آن، جهت اعتباربخشی به درخواست‌های ارسالی خود به سمت سرور هدف سوءاستفاده کند.

محصولات تحت تأثیر
تمام سرورهایی که از سرویس Cloudflare استفاده می‌کنند و دو ویژگی Authenticated Origin Pulls  و Allowlist Cloudflare IP Addresses  در آن‌ها فعال است.

توصیه‌های امنیتی
کمپانی Cloudflare هنوز به طور رسمی برای برطرف این نقص امنیتی، به‌روزرسانی جدیدی منتشرنکرده است اما تحلیلگران امنیتی تا زمان انتشار رسمی به‌روزرسانی، دو راهکار جهت کاهش تهدیدات این نقص امنیتی ارائه داده‌اند: تخصیص اعتبارنامه‌های شخصی‌سازی شده با استفاده از Authenticated Origin Pulls  و حذف اعتبارنامه‌های Cloudflare که منجر به درخواست‌های غیرمجاز خواهند شد. شایان ذکر است که مکانیزم  Allowlist Cloudflare IP Addresses  به عنوان گزینه‌ای جهت حفاظت از سرور در نظر گرفته نشود و تنها به عنوان یکی از روش‌های محافظت از سرور در لایه‌های پایین امنیت مورد استفاده قرار گیرد.

منابع خبر:

[1] https://latesthackingnews.com/2023/10/02/cloudflare-ddos-protection-flaws-allowed-security-bypass-v…
[2] https://www.bleepingcomputer.com/news/security/cloudflare-ddos-protections-ironically-bypassed-usin…