Geleakte Kundendaten: Cloudflare zieht Cloudbleed-Bilanz
Wie schlimm war Cloudbleed wirklich? Mit Hilfe einer Analyse der eigenen Datensätze will Cloudflare das beantworten.
Der Anti-DDoS-Anbieter Cloudflare hat in einem Blogpost durchgerechnet, wie viele Webseiten von der Cloudbleed-Sicherheitslücke im HTML-Parser des Unternehmens betroffen waren. Dazu hat das Unternehmen die eigenen Log-Dateien ausgewertet.
Das Unternehmen schreibt: "Obwohl der Bug schlimm war, hätten die Dinge noch deutlich schlechter laufen können." Man habe aber keine Hinweise darauf gefunden, dass der Bug tatsächlich in bösartiger Weise ausgenutzt wurde. Außerdem seien bei der überwiegenden Zahl der Kunden keine Daten geleakt worden.
Der Parser wird nach Angaben von Cloudflare genutzt, um verschiedene Funktionen zu automatisieren, etwa die Umschreibung von HTTP- zu HTTPS-Links, oder der Schutz von E-Mail-Adressen vor automatischen Mail-Adressen-Sammlern. Damit der Bug ausgenutzt werden konnte, mussten zwei Bedingungen erfüllt sein.
HTML "auf bestimmte Art und Weise kaputt"
Erstens musste das HTML der angefragten Seite "auf eine bestimmte Art und Weise kaputt sein", zweitens mussten bestimmte Cloudflare-Dienste aktiv sein. Konkret tauchte der Fehler immer dann auf, wenn eine angefragte Webseite mit einem unbestimmten Attribut endete.
Den durch den Bug verursachten Schaden analysiert Cloudflare in zwei Stufen. Im ersten Zeitraum zwischen dem 22. September 2016 und dem 13. Februar 2017 seien weniger als 180 Seiten betroffen gewesen. Eine Analyse der Webseitenaufrufe habe zudem ergeben, dass der Bug 605.037-mal ausgelöst wurde.
Verwundbarer Parser ab Februar auf deutlich mehr Seiten
Am 13. Februar wurde der betroffene Parser dann nach Angaben von Cloudflare auf weiteren Webseiten aktiviert - von 180 auf rund 6.500. Insgesamt seien von September 2016 bis zur Entdeckung des Bugs 1.242.071 Seitenaufrufe mit dem problematischen Parser erfolgt.
Die meisten der betroffenen Webseiten waren nach Angaben von Cloudflare "kleine und wenig besuchte Webseiten". Die Auswirkungen seien dabei jeweils unterschiedlich gewesen, die herausgegebenen Inhalte "zufällig", schreibt das Unternehmen.
Um herauszufinden, ob die Schwachstelle ausgenutzt wurde, untersuchte Cloudflare ein anderes Sample gespeicherter Daten. Von allen Anfragen wird ein Prozent "für einen begrenzten Zeitraum" zufällig gespeichert, inklusive der Antwort der Cloudflare-Server. Cloudflare suchte eigenen Angaben zufolge nach IP-Adressen, die Seiten aus dem Sample an einem Tag mehr als 1.000-mal abgefragt und mehr Daten heruntergeladen haben, als die Seite eigentlich preisgibt.
Kein nachweisbarer Missbrauch bislang
Sieben der untersuchten Adressen sollen diesem Kriterium entsprechen, wobei keine der angefragten Adressen den verwundbaren Parser ausgeliefert haben soll und somit nicht verwundbar sei. Nach Maßgabe der Daten geht Cloudflare daher davon aus, dass zumindest im Zeitraum zwischen dem 8. Februar und dem 18. Februar 2017 (dem Datum des Patches) keine bösartigen Anfragen getätigt wurden.
Nach dem Patch waren einige der geleakten Daten nach wie vor bei Suchmaschinenanbietern verfügbar. In Zusammenarbeit mit den Betreibern Google, Bing, Yahoo, Baidu, Yandex und Duckduckgo wurden etwa 80.000 Seiten aus den entsprechenden Caches entfernt. Wer nach wie vor entsprechende Daten findet, kann diese an parserbug@cloudflare.com melden.
Pro geleaktem Datensatz erwartet Cloudflare, dass im Schnitt 67,54 interne Cloudflare-Header, 0,44 Cookies und 0,04 Tokens herausgegeben werden. Die Analyse schließt nach Angaben von Cloudflare nicht aus, dass Passwörter, Kreditkarteninformationen oder Verschlüsselungskeys herausgegeben wurden, es sei aber nicht sehr wahrscheinlich, dass das tatsächlich passiert sei.