DDoS-захист Cloudflare було обійдено за допомогою Cloudflare

Виявилося, що DDoS-захист Cloudflare можна обійти за допомогою інструментів, пропонованих самою компанією Cloudflare. Стефан Прокш, австрійський інженер з безпеки, виявив уразливість, скориставшись деякими логічними недоліками в управлінні міжклієнтською безпекою. Усе, що йому було потрібно, - це безкоштовний обліковий запис Cloudflare і цільова IP-адреса.

Проблема пов'язана із загальною інфраструктурою Cloudflare, яка приймає з'єднання від усіх користувачів. Вона має дві вразливості - одна стосується запитів Authenticated Origin Pulls, друга ж стосується "білого списку".

Authenticated Origin Pulls - це функція, що забезпечує, щоб запити, які відправляються на вихідний сервер, проходили через Cloudflare (а не від потенційного зловмисника). Сервери зворотного проксі Cloudflare використовують SSL-сертифікати для аутентифікації на вихідному сервері (сервері, на якому розміщений сайт). Це дає змогу забезпечити безпеку зв'язку між Cloudflare і вихідним сервером.

Зловмисник може скористатися цими вразливостями, виконавши такі дії:

1. Зловмисник встановлює користувацький домен у Cloudflare і вказує в DNS A-запис на IP-адресу жертви (сервер походження).
2. Потім зловмисник відключає всі засоби захисту для цього призначеного для користувача домену у своєму Cloudflare.
3. Тепер вони можуть направляти свої атаки через інфраструктуру Cloudflare, використовуючи загальний сертифікат, фактично обходячи засоби захисту, встановлені жертвою.

На думку Прокша, проблема безпеки може бути вирішена тільки шляхом використання користувацьких сертифікатів. Однак використання користувацьких сертифікатів вимагає від клієнтів створення та підтримки власних сертифікатів origin pull, що може бути менш зручним, ніж використання сертифіката Cloudflare.