Cloudflare utsatt for et alvorlig sikkerhetshull - bytt passord snarest på alle nettsider

[myhken]

Cloudflare, som brukes på utrolig mange nettsteder har hatt et sikkerhetshull mellom 22.09.2016 opp til nå 18.02.2017.

 

 

Between 2016-09-22 - 2017-02-18 passwords, private messages, API keys, and other sensitive data were leaked by Cloudflare to random requesters. Data was cached by search engines, and may have been collected by random adversaries over the past few months.

"The greatest period of impact was from February 13 and February 18 with around 1 in every 3,300,000 HTTP requests through Cloudflare potentially resulting in memory leakage (that’s about 0.00003% of requests), potential of 100k-200k paged with private data leaked every day" -- source

You can see some of the leaked data yourself in search engine caches: https://duckduckgo.com/?q=+%7B%22scheme%22%3A%22http%22%7D+CF-Host-Origin-IP&t=h_&ia=web

 

Siden data som passord har kunne blitt lekket i klartekst, anbefales det at du snarest bytter passord på alle sider som benytter seg av cloudflare. Enda bedre, greit å bytte passord på alt av sider, siden det ikke alltid er like lett å vite hvilke steder som benytter seg av cloudflare.

En pågående liste kan du finne her: https://github.com/pirate/sites-using-cloudflare

 

Mer data kan du lese her:

https://bugs.chromium.org/p/project-zero/issues/detail?id=1139

 

og her

https://blog.cloudflare.com/incident-report-on-memory-leak-caused-by-cloudflare-parser-bug/?utm_content=buffere476a&utm_medium=social&utm_source=twitter.com&utm_campaign=buffer

Endret 24. februar 2017 av myhken

[Faller]

Jeg stusser litt over Github-linken som lister opp alle som benytter seg av Cloudflare. Personlig finner jeg det mer forvirrende enn nyttig, samtidig som det skaper en unøyaktig liste. Skal jeg bytte passord på en rekke tjenester - ja, klart jeg skal.

[myhken]

Jeg stusser litt over Github-linken som lister opp alle som benytter seg av Cloudflare. Personlig finner jeg det mer forvirrende enn nyttig, samtidig som det skaper en unøyaktig liste. Skal jeg bytte passord på en rekke tjenester - ja, klart jeg skal.

 

Hvorfor unøyaktig? Total listen, er jo på over 4 millioner nettsteder, den er vel nokså nøyaktig vel? Den lille listen som vises på forsiden, er jo bare en brøkdel av totallisten.

[Faller]

Unøyaktig i form av at man ikke kan garantere at alle 4 millionene sidene er påvirket, og dermed er det vanskelig å vite hva som faktisk er påvirket.

 

Og ja, helt klar over at den lille listen på github kun er en liten del av hele listen.

[myhken]

Nei man kan ikke garantere at alle sidene er påvirket. Cloudflare sier at bare rundt 150 steder er påvirket. Likevel kan man jo ikke garantere hvilke sider som faktisk har blitt påvirket eller ikke. Så best å være på den sikre siden?

[Delvis]

Nå igjen   På absolutt alt av sider man har. Jeg blir gal.

[Delvis]

Antar at vi bør endre passord på sånne sider som Paypal, Amazon, Finn, bettingsider osv?
Alle sånne viktige sider med betalings opplysninger og sånt.

Bare litt rart syns jeg, at ingen av dem har kommet med noe varsel. Ser ingenting på sidene heller. Det pleier jo bli
slått oppp når det er noe som truer skkerheten.

[myhken]

Antar at vi bør endre passord på sånne sider som Paypal, Amazon, Finn, bettingsider osv?

Alle sånne viktige sider med betalings opplysninger og sånt.

 

Bare litt rart syns jeg, at ingen av dem har kommet med noe varsel. Ser ingenting på sidene heller. Det pleier jo bli

slått oppp når det er noe som truer skkerheten.

 

For de fleste av de sidene du nevner ikke bruker CloudFlare til å beskytte sine systemer. Derfor har de heller ikke gitt ut noe info om passord bytter.

Grunnen til at jeg i tittelen skrev at det lønner seg å bytte passord på alle steder, er vel mer for de som bruker ett og samme passord, gjerne sammen med den samme epost adressen på alle/de fleste steder med innlogging.

Om du da har brukt ett sted med CloudFlare og passordet ditt har blitt lekket, så kan jo folk logge seg inn på alle de tjenestene som ikke brukte CloudFlare også.

[Delvis]

Ok takk for den redegjørelsen. 
 Ja viktig å ha unike pssord på hvert sted.

[Delvis]

Denne siden kan muligens også være nyttig.