Google-Sicherheitsexperte entdeckte Bug
Ende der vergangenen Woche erbat sich der Google-Sicherheitsexperte Tavis Ormandy einen Security-Kontakt bei Cloudflare. Der dramatische Hintergrund der Anfrage war die Aufdeckung eines Bugs, der dazu führte, dass sehr sensible Daten von unzähligen Nutzern einfach im Internet verteilt wurden, wie golem.de dazu ausführte.
Cloudflare ist ein Content-Delivery-Netzwerk, das von zahlreichen Webseiten genutzt wird. Dazu gehören unter anderem Dienste wie Uber, OkCupid, StackOverflow und Medium. Mittels verschiedener Features kann man über Cloudflare Änderungen an den Kundenwebseiten vornehmen. Darunter die Funktion, die automatisch Mailadressen via Javascript unlesbar macht, um Spammen zu erschweren, oder eine Möglichkeit, automatisch HTTP-URLs, die via HTTPS verfügbar sind, umzuschreiben. Für derartige Zwecke nutzt Cloudflare Module im Webserver Nginx, die den HTML-Code einlesen und umschreiben.
Typischer C-Bug
Laut Ormandy war der Bug ein sehr typischer C-Bug. Das bedeutet, dass Code in bestimmten Fällen über das Ende eines Speicherbereichs hinweg liest, da ein Check übersprungen werden kann. Das trat ein, wenn ein unvollständiger HTML-Tag in einer Webseite auftauchte. Wie es weiter dazu heißt wurde der eingelesene Speicher mit den HTTP-Antworten des Servers verschickt. Laut Ormandy waren darunter auch sensible Nachrichten wie private Nachrichten von Nutzern auf Datingbörsen, Chatnachrichten und Hotelbuchungen. Laut Cloudflare sollen HTTPS-Zertifikate nicht betroffen sein, da diese in einem anderen Speicherbereich abgelegt waren.
Nach Angaben von Cloudflare soll der Bug bereits seit vielen Jahren in dem Code vorhanden sein, er war nur nicht aufgetreten. Der Grund soll nun ausgerechnet ein neuer Parser sein, der eingeführt wurde, weil Cloudflare den alten Ragel-Code, in dem der betroffene Parser von Cloudflare geschrieben war, eigentlich ablösen will. Mit gleichzeitiger Nutzung von altem und neuem Parser trat der Bug auf.
Was ist ein Parser?
Ein Parser ist ein Computerprogramm, das in der Informatik für die Zerlegung und Umwandlung einer Eingabe in ein für die Weiterverarbeitung geeigneteres Format zuständig ist. Häufig werden Parser eingesetzt, um im Anschluss an den Analysevorgang die Semantik der Eingabe zu erschließen und daraufhin Aktionen durchzuführen.
Entwarnung
Wie Cloudflare in einem Blogeintrag schreibt, behob das Unternehmen das Problem diese Woche. Wie Golem schreibt, ist es aber unklar, wohin die sensiblen Daten überall verteilt wurden.
