Новости DDoS-защиту Cloudflare можно обойти с помощью самой Cloudflare

  • Автор темы BOOX
  • Дата начала

BOOX

Стаж на ФС с 2012 года
Команда форума
Служба безопасности
Private Club
Регистрация
23/1/18
Сообщения
29.223
Репутация
11.795
Реакции
61.959
RUB
50
Исследователи из компании Certitude , что брандмауэр Cloudflare, а также защиту от DDoS-атак можно обойти, атаковав других пользователей изнутри самой платформы.


Проблема возникает из-за общей инфраструктуры, к которой имеют доступ все арендаторы (tenant), что позволяет злоумышленникам атаковать клиентов Cloudflare через Cloudflare.

Эксперты обнаружили две проблемы, затрагивающие функции Cloudflare Authenticated Origin Pulls и Allowlist Cloudflare IP Addresses.

cloud_flare_wordpress_security.jpg


Authenticated Origin Pulls — это защитная функция Cloudflare, которая позволяет убедиться, что запросы HTTP(S) отправленные на оригинальный сервер, поступают через Cloudflare, а не от злоумышленника. При настройке этой функции клиенты могут загрузить свои сертификаты с помощью API или сгенерировать их через Cloudflare, что является наиболее простым способом.

После настройки Cloudflare использует сертификаты SSL/TLS для аутентификации всех запросов HTTP(S) между обратными прокси-серверами и оригинальным сервером клиента, предотвращая доступ неавторизованных запросов к сайту.

Однако, как объясняют специалисты, злоумышленники могут обойти эту защиту, поскольку Cloudflare использует общий сертификат для всех клиентов, а не отдельные сертификаты для каждого арендатора, в результате чего все соединения, исходящие от Cloudflare, разрешаются.

«Злоумышленник может создать собственный домен на Cloudflare и указать IP-адрес жертвы в качестве DNS записи A. Затем он может отключить все средства защиты для этого домена в своем тенанте и осуществить атаку через инфраструктуру Cloudflare. Такой подход позволяет злоумышленникам обходить средства защиты жертвы», — объяснили в Certitude.

То есть злоумышленники, имеющие учетную запись Cloudflare, могут направлять вредоносный трафик на других клиентов Cloudflare или направлять свои атаки через инфраструктуру компании.



По словам экспертов, единственным способом защиты является использование кастомных сертификатов, а не сертификатов Cloudflare.

Вторая проблема связана с использованием защитной технологии Allowlist Cloudflare IP Addresses, которая позволяет трафику, исходящему только от IP-адресов Cloudflare, достигать оригинальных серверов клиентов.

В этом случае атакующий так же может создать домен на Cloudflare и указать IP-адрес жертвы в качестве DNS записи A. Далее злоумышленнику нужно отключить все функции защиты домена и направить вредоносный трафик через инфраструктуру Cloudflare, которая с точки зрения жертвы будет выглядеть как доверенная и, следовательно, разрешенная.



Для защиты от таких атак исследователи предлагают использовать Cloudflare Aegis (если возможно) для определения более точного диапазона IP-адресов, выделенного для каждого клиента.

Эксперты отмечают, что уведомили разработчиков Cloudflare о своих выводах еще в марте 2023 года через bug bounty программу, однако обращение было закрыто с пометкой «informative», и никакой другой реакции от компании не последовало.

 
Сверху Снизу