Исследователи из компании Certitude обнаружили, что брандмауэр Cloudflare, а также защиту от DDoS-атак можно обойти, атаковав других пользователей изнутри самой платформы. Проблема возникает из-за общей инфраструктуры, к которой имеют доступ все арендаторы (tenant), что позволяет злоумышленникам атаковать клиентов Cloudflare через Cloudflare.
Эксперты обнаружили две проблемы, затрагивающие функции Cloudflare Authenticated Origin Pulls и Allowlist Cloudflare IP Addresses.
Authenticated Origin Pulls — это защитная функция Cloudflare, которая позволяет убедиться, что запросы HTTP(S) отправленные на оригинальный сервер, поступают через Cloudflare, а не от злоумышленника. При настройке этой функции клиенты могут загрузить свои сертификаты с помощью API или сгенерировать их через Cloudflare, что является наиболее простым способом.
После настройки Cloudflare использует сертификаты SSL/TLS для аутентификации всех запросов HTTP(S) между обратными прокси-серверами и оригинальным сервером клиента, предотвращая доступ неавторизованных запросов к сайту.
Однако, как объясняют специалисты, злоумышленники могут обойти эту защиту, поскольку Cloudflare использует общий сертификат для всех клиентов, а не отдельные сертификаты для каждого арендатора, в результате чего все соединения, исходящие от Cloudflare, разрешаются.
«Злоумышленник может создать собственный домен на Cloudflare и указать IP-адрес жертвы в качестве DNS записи A. Затем он может отключить все средства защиты для этого домена в своем тенанте и осуществить атаку через инфраструктуру Cloudflare. Такой подход позволяет злоумышленникам обходить средства защиты жертвы», — объяснили в Certitude.
То есть злоумышленники, имеющие учетную запись Cloudflare, могут направлять вредоносный трафик на других клиентов Cloudflare или направлять свои атаки через инфраструктуру компании.
По словам экспертов, единственным способом защиты является использование кастомных сертификатов, а не сертификатов Cloudflare.
Вторая проблема связана с использованием защитной технологии Allowlist Cloudflare IP Addresses, которая позволяет трафику, исходящему только от IP-адресов Cloudflare, достигать оригинальных серверов клиентов.
В этом случае атакующий так же может создать домен на Cloudflare и указать IP-адрес жертвы в качестве DNS записи A. Далее злоумышленнику нужно отключить все функции защиты домена и направить вредоносный трафик через инфраструктуру Cloudflare, которая с точки зрения жертвы будет выглядеть как доверенная и, следовательно, разрешенная.
Для защиты от таких атак исследователи предлагают использовать Cloudflare Aegis (если возможно) для определения более точного диапазона IP-адресов, выделенного для каждого клиента.
Эксперты отмечают, что уведомили разработчиков Cloudflare о своих выводах еще в марте 2023 года через bug bounty программу, однако обращение было закрыто с пометкой «informative», и никакой другой реакции от компании не последовало.
